מידע על הצפנת נתונים שקופה (TDE)

בדף הזה מתוארת הצפנת נתונים שקופה (TDE) ב-Cloud SQL ל-SQL Server.

ב-Cloud SQL ל-SQL Server אפשר להשתמש ב-TDE כדי להצפין נתונים שמאוחסנים במכונות של Cloud SQL ל-SQL Server. ב-TDE, הנתונים מוצפנים באופן אוטומטי לפני שהם נכתבים באחסון, ומפוענחים באופן אוטומטי כשהם נקראים מהאחסון.

משתמשים ב-TDE בתרחישים שבהם נדרשת שכבת הצפנה נוספת, בנוסף להצפנת הנתונים באחסון ש-Google מציעה כברירת מחדל, ולמפתחות הצפנה בניהול הלקוח (CMEK) ש-Google מציעה כאפשרות. באופן ספציפי, אתם יכולים להשתמש ב-TDE כדי לעמוד בדרישות רגולטוריות, כמו תקן אבטחת הנתונים המקובל בתעשיית כרטיסי תשלום (PCI DSS), או כשאתם מייבאים או מייצאים גיבויים מוצפנים.

איך פועלת הצפנת TDE

ב-TDE ל-Cloud SQL ל-SQL Server, ניהול מפתחות ההצפנה מתבצע באמצעות ארכיטקטורת מפתחות דו-שכבתית. אישור שנוצר מהמפתח הראשי של מסד הנתונים משמש להגנה על המפתחות להצפנת נתונים. המפתח להצפנת מסד הנתונים מבצע את ההצפנה והפענוח של הנתונים במסד הנתונים של המשתמש. ‫Cloud SQL מנהל גם את המפתח הראשי של מסד הנתונים וגם את אישור ה-TDE.

  • כל מכונה מתאימה של Cloud SQL ל-SQL Server מקבלת אישור TDE ייחודי שתקף לשנה. ‫Cloud SQL ל-SQL Server מחליף את האישור הזה באופן אוטומטי מדי שנה.

  • אפשר לייבא למכונה אישורי TDE חיצוניים, אבל צריך להחליף אותם ידנית.

  • אם למכונה יש רפליקות, כל אישורי ה-TDE, כולל אלה שמנוהלים על ידי Cloud SQL ואלה שייבאתם ידנית, מופצים אוטומטית לכל הרפליקות.

  • מכונות שבהן מופעל TDE יוצרות מסד נתונים פנימי שנקרא gcloud_cloudsqladmin. מסד הנתונים הזה שמור לתהליכים פנימיים של Cloud SQL, המשתמשים לא יכולים לגשת אליו, הוא מאחסן נתונים מינימליים ועלות האחסון שלו זניחה.

  • ב-Cloud SQL ל-SQL Server, כשמקצים אישור TDE, משתמשים בתחילית gcloud_tde_system_.

  • כל האישורים המיובאים משתמשים בתחילית השם gcloud_tde_user_CERT_NAME_UUID.

  • אחרי שמייבאים או מחליפים אישור במכונה שמופעלים בה גם TDE וגם שחזור מערכת מנקודה מסוימת בזמן (PITR), המכונה יוצרת גיבוי חדש. כך אפשר לצמצם את הסיכון לאובדן האישור אם רוצים לשחזר מסד נתונים מוצפן לנקודת זמן לפני שהאישור היה נגיש למכונה.

מגבלות

  • האפשרות הזו זמינה רק במכונות של Cloud SQL ל-SQL Server עם גרסאות מסד הנתונים הבאות:

    • SQL Server Enterprise
    • ‫SQL Server 2019 ואילך (מהדורת Standard)

  • אם משתמשים ב-TDE במכונה עם רפליקות ומופעלים VPC Service Controls, צריך לוודא שהמכונה הראשית וכל הרפליקות נמצאות באותם גבולות גזרה לשירות.

    מידע נוסף זמין במאמרים הגדרת VPC Service Controls וסקירה כללית על VPC Service Controls.

  • אי אפשר למחוק אישור TDE שמנוהל על ידי Cloud SQL.

  • אי אפשר למחוק אישור TDE כשהוא בשימוש.

  • אי אפשר לייבא ישירות אישורי TDE חיצוניים למכונות של רפליקות.

  • אפשר לייבא עד עשרה אישורי TDE לכל מכונה. אם אתם צריכים לייבא עוד אישורים, אתם יכולים למחוק אישורים מיותרים באמצעות הפרוצדורה המאוחסנת msdb.dbo.gcloudsql_drop_tde_user_certificate.

המאמרים הבאים