Auf dieser Seite wird die transparente Datenverschlüsselung (TDE) in Cloud SQL for SQL Server beschrieben.
Cloud SQL for SQL Server unterstützt die Verwendung von TDE zum Verschlüsseln von Daten, die in Ihren Cloud SQL for SQL Server-Instanzen gespeichert sind. Die TDE verschlüsselt Daten automatisch, bevor sie in den Speicher geschrieben werden, und entschlüsselt sie automatisch, wenn sie aus dem Speicher gelesen werden.
TDE wird in Szenarien verwendet, in denen zusätzlich zum Standardangebot von Google für die Verschlüsselung ruhender Daten und dem optionalen Angebot von Google für kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) eine weitere Verschlüsselungsebene erforderlich ist. Insbesondere können Sie TDE verwenden, um die Einhaltung regulatorischer Anforderungen wie den Payment Card Industry Data Security Standard (PCI DSS) zu erfüllen oder verschlüsselte Sicherungen zu importieren oder zu exportieren.
Funktionsweise von TDE
TDE für Cloud SQL for SQL Server bietet eine Verschlüsselungsschlüsselverwaltung mit einer zweistufigen Schlüsselarchitektur. Ein Zertifikat, das aus dem Primärschlüssel der Datenbank generiert wird, wird zum Schutz der Datenverschlüsselungsschlüssel verwendet. Der Schlüssel für die Datenbankverschlüsselung verschlüsselt und entschlüsselt Daten in der Nutzerdatenbank. Cloud SQL verwaltet sowohl den Primärschlüssel der Datenbank als auch das TDE-Zertifikat.
Jede infrage kommende Cloud SQL for SQL Server-Instanz wird mit einem eindeutigen TDE-Zertifikat bereitgestellt, das ein Jahr lang gültig ist. Cloud SQL for SQL Server rotiert dieses Zertifikat automatisch einmal im Jahr.
Sie können externe TDE-Zertifikate in die Instanz importieren, müssen diese jedoch manuell rotieren.
Wenn die Instanz Replikate hat, werden alle TDE-Zertifikate, einschließlich der von Cloud SQL verwalteten und der von Ihnen manuell importierten, automatisch auf alle Replikate verteilt.
Instanzen mit aktivierter TDE generieren eine interne Datenbank namens
gcloud_cloudsqladmin. Diese Datenbank ist für interne Cloud SQL-Prozesse reserviert, für Nutzer nicht zugänglich, speichert nur minimale Daten und verursacht vernachlässigbare Speicherkosten.Cloud SQL for SQL Server verwendet das Namenspräfix
gcloud_tde_system_, wenn ein TDE-Zertifikat bereitgestellt wird.Alle importierten Zertifikate verwenden das Namenspräfix
gcloud_tde_user_CERT_NAME_UUID.Nachdem Sie ein Zertifikat auf einer Instanz importiert oder rotiert haben, auf der sowohl TDE als auch die Wiederherstellung zu einem bestimmten Zeitpunkt (Point-In-Time Recovery, PITR) aktiviert sind, erstellt die Instanz eine neue Sicherung. So verringern Sie das Risiko eines Zertifikatsverlusts, wenn Sie eine verschlüsselte Datenbank zu einem Zeitpunkt wiederherstellen möchten, bevor das Zertifikat für die Instanz zugänglich war.
Beschränkungen
Nur in Cloud SQL for SQL Server-Instanzen mit den folgenden Datenbankversionen verfügbar:
- SQL Server Enterprise
- SQL Server 2019 oder höher (Standard Edition)
Wenn TDE für eine Instanz mit Replikaten verwendet wird und VPC Service Controls aktiviert ist, müssen sich die primäre Instanz und alle Replikate im selben Dienstperimeter befinden.
Weitere Informationen finden Sie unter VPC Service Controls konfigurieren und Übersicht über VPC Service Controls.
Sie können ein von Cloud SQL verwaltetes TDE-Zertifikat nicht löschen.
Sie können ein TDE-Zertifikat nicht löschen, während es verwendet wird.
Sie können externe TDE-Zertifikate nicht direkt in Replikatinstanzen importieren.
Sie können bis zu zehn TDE-Zertifikate pro Instanz importieren. Wenn Sie weitere Zertifikate importieren müssen, löschen Sie alle nicht benötigten Zertifikate mit der gespeicherten Prozedur
msdb.dbo.gcloudsql_drop_tde_user_certificate.