Questa pagina descrive la crittografia dei dati trasparente (TDE) in Cloud SQL per SQL Server.
Cloud SQL per SQL Server supporta l'utilizzo di TDE per criptare i dati archiviati nei datastore delle istanze Cloud SQL per SQL Server. TDE cripta automaticamente i dati prima che vengano scritti nello spazio di archiviazione e li decripta automaticamente quando vengono letti dallo spazio di archiviazione.
TDE viene utilizzato in scenari in cui è richiesto un altro livello di crittografia oltre all'offerta predefinita di Google di crittografia per i dati at-rest e all'offerta facoltativa di Google di chiavi di crittografia gestite dal cliente (CMEK). In particolare, puoi utilizzare TDE per soddisfare i requisiti di conformità legale, come il Payment Card Industry Data Security Standard (PCI DSS), o durante l'importazione o l'esportazione di backup crittografati.
Come funziona TDE
La crittografia TDE per Cloud SQL per SQL Server fornisce la gestione delle chiavi di crittografia utilizzando un'architettura di chiavi a due livelli. Per proteggere le chiavi di crittografia dei dati viene utilizzato un certificato, generato dalla chiave primaria del database. La chiave di crittografia del database esegue la crittografia e la decrittografia dei dati nel database utente. Cloud SQL gestisce sia la chiave primaria del database sia il certificato TDE.
Ogni istanza Cloud SQL per SQL Server idonea viene sottoposta a provisioning con un certificato TDE univoco valido per un anno. Cloud SQL per SQL Server ruota automaticamente questo certificato ogni anno.
Puoi importare certificati TDE esterni nell'istanza, ma devi ruotarli manualmente.
Se l'istanza ha delle repliche, tutti i certificati TDE, inclusi quelli gestiti da Cloud SQL e quelli importati manualmente, vengono distribuiti automaticamente in tutte le repliche.
Le istanze con TDE abilitato generano un database interno denominato
gcloud_cloudsqladmin. Questo database è riservato ai processi Cloud SQL interni, non è accessibile agli utenti, archivia dati minimi e ha un costo di archiviazione trascurabile.Cloud SQL per SQL Server utilizza il prefisso di denominazione
gcloud_tde_system_durante il provisioning di un certificato TDE.Tutti i certificati importati utilizzano il prefisso di denominazione
gcloud_tde_user_CERT_NAME_UUID.Dopo aver importato o ruotato un certificato in un'istanza in cui sono abilitati sia TDE che il recupero point-in-time (PITR), l'istanza crea un nuovo backup. In questo modo, si riduce il rischio di perdita del certificato se e quando vuoi ripristinare un database criptato in un momento precedente a quello in cui il certificato era accessibile all'istanza.
Limitazioni
Disponibile solo nelle istanze Cloud SQL per SQL Server con le seguenti versioni di database:
- SQL Server Enterprise
- SQL Server 2019 o versioni successive (Standard Edition)
Se la crittografia TDE viene utilizzata per un'istanza con repliche e i Controlli di servizio VPC sono abilitati, devi assicurarti che l'istanza principale e tutte le repliche si trovino all'interno dello stesso perimetro di servizio.
Per saperne di più, consulta Configura i Controlli di servizio VPC e Panoramica dei Controlli di servizio VPC.
Non puoi eliminare un certificato TDE gestito da Cloud SQL.
Non puoi eliminare un certificato TDE mentre è in uso.
Non puoi importare direttamente i certificati TDE esterni nelle istanze di replica.
Puoi importare fino a dieci certificati TDE per istanza. Se devi importarne altri, elimina i certificati non necessari utilizzando la stored procedure
msdb.dbo.gcloudsql_drop_tde_user_certificate.