Questa pagina descrive la crittografia dei dati trasparente (TDE) in Cloud SQL per SQL Server.
Cloud SQL per SQL Server supporta l'utilizzo di TDE per criptare i dati archiviati nelle istanze Cloud SQL per SQL Server. TDE cripta automaticamente i dati prima che vengano scritti nello spazio di archiviazione e li decripta automaticamente quando vengono letti dallo spazio di archiviazione.
TDE viene utilizzato negli scenari in cui è richiesto un altro livello di crittografia oltre all'offerta predefinita di Google di crittografia per i dati inattivi e all'offerta facoltativa di Google di chiavi di crittografia gestite dal cliente (CMEK). In particolare, puoi utilizzare TDE per soddisfare i requisiti di conformità normativa, ad esempio lo standard PCI DSS (Payment Card Industry Data Security Standard), o durante l'importazione o l'esportazione di backup criptati.
Come funziona TDE
TDE per Cloud SQL per SQL Server fornisce la gestione delle chiavi di crittografia utilizzando un'architettura di chiavi a due livelli. Un certificato, generato dalla chiave primaria del database, viene utilizzato per proteggere le chiavi di crittografia dei dati. La chiave di crittografia del database esegue la crittografia e la decrittografia dei dati nel database utente. Cloud SQL gestisce sia la chiave primaria del database sia il certificato TDE.
Ogni istanza Cloud SQL per SQL Server idonea viene sottoposta a provisioning con un certificato TDE univoco valido per un anno. Cloud SQL per SQL Server ruota automaticamente questo certificato ogni anno.
Puoi importare certificati TDE esterni nell'istanza, ma devi eseguirne la rotazione manualmente.
Se l'istanza ha repliche, tutti i certificati TDE, inclusi quelli gestiti da Cloud SQL e quelli importati manualmente, vengono distribuiti automaticamente in tutte le repliche.
Le istanze con TDE abilitato generano un database interno denominato
gcloud_cloudsqladmin. Questo database è riservato ai processi Cloud SQL interni, non è accessibile agli utenti, archivia dati minimi e ha un costo di archiviazione trascurabile.Cloud SQL per SQL Server utilizza il prefisso di denominazione
gcloud_tde_system_durante il provisioning di un certificato TDE.Tutti i certificati importati utilizzano il prefisso di denominazione
gcloud_tde_user_CERT_NAME_UUID.Dopo aver importato o ruotato un certificato su un'istanza in cui sono abilitati sia TDE che il recupero point-in-time (PITR), l'istanza crea un nuovo backup. Ciò consente di ridurre il rischio di perdita del certificato se e quando vuoi ripristinare un database criptato a un momento precedente a quando il certificato era accessibile all'istanza.
Limitazioni
Disponibile solo nelle istanze Cloud SQL per SQL Server con le seguenti versioni del database:
- SQL Server Enterprise
- SQL Server 2019 o versioni successive (Standard Edition)
Se TDE viene utilizzato per un'istanza con repliche e i Controlli di servizio VPC sono abilitati, devi assicurarti che l'istanza primaria e tutte le repliche si trovino all'interno dello stesso perimetro di servizio.
Per ulteriori informazioni, consulta Configurare i Controlli di servizio VPC e Panoramica dei Controlli di servizio VPC.
Non puoi eliminare un certificato TDE gestito da Cloud SQL.
Non puoi eliminare un certificato TDE mentre è in uso.
Non puoi importare direttamente certificati TDE esterni nelle istanze di replica.
Puoi importare fino a 10 certificati TDE per istanza. Se devi importarne altri, elimina i certificati non necessari utilizzando la procedura archiviata
msdb.dbo.gcloudsql_drop_tde_user_certificate.