Cette page décrit le chiffrement transparent des données (TDE) dans Cloud SQL pour SQL Server.
Cloud SQL pour SQL Server permet d'utiliser le chiffrement TDE pour chiffrer les données stockées dans vos instances Cloud SQL pour SQL Server. Le chiffrement TDE chiffre automatiquement les données avant qu'elles ne soient écrites dans l'espace de stockage, et les déchiffre automatiquement lorsqu'elles sont lues à partir de l'espace de stockage.
Le TDE est utilisé dans les scénarios où une autre couche de chiffrement est requise en plus de l'offre par défaut de Google de chiffrement des données au repos et de l'offre facultative de Google de clés de chiffrement gérées par le client (CMEK). Plus précisément, vous pouvez utiliser le TDE pour vous aider à respecter les exigences de conformité réglementaire, telles que la norme PCI DSS (Payment Card Industry Data Security Standard), ou lors de l'importation ou de l'exportation de sauvegardes chiffrées.
Fonctionnement du TDE
TDE pour Cloud SQL pour SQL Server permet de gérer les clés de chiffrement à l'aide d'une architecture de clés à deux niveaux. Un certificat, généré à partir de la clé primaire de la base de données, est utilisé pour protéger les clés de chiffrement des données. La clé de chiffrement de la base de données effectue le chiffrement et le déchiffrement des données de la base de données utilisateur. Cloud SQL gère à la fois la clé primaire de la base de données et le certificat TDE.
Chaque instance Cloud SQL pour SQL Server éligible est provisionnée avec un certificat TDE unique valable un an. Cloud SQL pour SQL Server effectue automatiquement une rotation de ce certificat chaque année.
Vous pouvez importer des certificats TDE externes dans l'instance, mais vous devez effectuer une rotation manuelle.
Si l'instance comporte des instances répliquées, tous les certificats TDE, y compris ceux gérés par Cloud SQL et ceux que vous avez importés manuellement, sont automatiquement distribués sur toutes les instances répliquées.
Les instances pour lesquelles le TDE est activé génèrent une base de données interne appelée
gcloud_cloudsqladmin. Cette base de données est réservée aux processus Cloud SQL internes, n'est pas accessible aux utilisateurs, stocke un minimum de données et a un coût de stockage négligeable.Cloud SQL pour SQL Server utilise le préfixe de nom
gcloud_tde_system_lors du provisionnement d'un certificat TDE.Tous les certificats importés utilisent le préfixe de nom
gcloud_tde_user_CERT_NAME_UUID.Après avoir importé ou effectué la rotation d'un certificat sur une instance pour laquelle le chiffrement TDE et la récupération à un moment précis (PITR) sont activés, l'instance crée une sauvegarde. Cela permet de réduire le risque de perte de certificat si et quand vous souhaitez restaurer une base de données chiffrée à un moment précis avant que le certificat ne soit accessible à l'instance.
Limites
Disponible uniquement dans les instances Cloud SQL pour SQL Server avec les versions de base de données suivantes :
- SQL Server Enterprise
- SQL Server 2019 ou version ultérieure (édition Standard)
Si le TDE est utilisé pour une instance avec des instances répliquées et que VPC Service Controls est activé, vous devez vous assurer que l'instance principale et toutes les instances répliquées se trouvent dans le même périmètre de service.
Pour en savoir plus, consultez Configurer VPC Service Controls et Présentation de VPC Service Controls.
Vous ne pouvez pas supprimer un certificat TDE géré par Cloud SQL.
Vous ne pouvez pas supprimer un certificat TDE tant qu'il est utilisé.
Vous ne pouvez pas importer directement des certificats TDE externes dans des instances répliquées.
Vous pouvez importer jusqu'à 10 certificats TDE par instance. Si vous devez en importer d'autres, supprimez les certificats inutiles à l'aide de la procédure stockée
msdb.dbo.gcloudsql_drop_tde_user_certificate.