本頁面說明 SQL Server 適用的 Cloud SQL 透明資料加密 (TDE)。
SQL Server 適用的 Cloud SQL 支援使用 TDE，加密儲存在 SQL Server 適用的 Cloud SQL 執行個體中的資料。TDE 會在資料寫入儲存空間前自動加密，並在從儲存空間讀取資料時自動解密。
除了 Google 預設提供的靜態資料加密和選用的客戶自行管理的加密金鑰 (CMEK) 之外，如果需要額外的加密層，則可使用 TDE。具體來說，您可以使用 TDE 協助您符合法規遵循要求，例如付款卡產業資料安全標準 (PCI DSS)，或在匯入或匯出加密備份時使用。
TDE 的運作方式
SQL Server 適用的 Cloud SQL TDE 採用兩層式金鑰架構，提供加密金鑰管理功能。系統會使用從資料庫主鍵產生的憑證，保護資料加密金鑰。資料庫加密金鑰會對使用者資料庫中的資料執行加密和解密。Cloud SQL 會管理資料庫主鍵和 TDE 憑證。
每個符合資格的 SQL Server 適用的 Cloud SQL 執行個體，都會佈建一組專屬的 TDE 憑證，有效期限為一年。SQL Server 適用的 Cloud SQL 會每年自動輪替這項憑證。
您可以將外部 TDE 憑證匯入執行個體，但必須手動輪替這些憑證。
如果執行個體有副本，所有 TDE 憑證 (包括 Cloud SQL 代管的憑證和您手動匯入的憑證) 都會自動發布至所有副本。
啟用 TDE 的執行個體會產生名為
gcloud_cloudsqladmin的內部資料庫。這個資料庫保留給內部 Cloud SQL 程序使用，使用者無法存取，儲存的資料量極少，儲存費用也微不足道。SQL Server 適用的 Cloud SQL 在佈建 TDE 憑證時，會使用
gcloud_tde_system_命名前置字串。任何匯入的憑證都會使用
gcloud_tde_user_CERT_NAME_UUID 命名。在同時啟用 TDE 和時間點復原 (PITR) 的執行個體上匯入或輪替憑證後，執行個體會建立新的備份。如果您想將加密資料庫還原至執行個體可存取憑證之前的時間點，這麼做有助於降低憑證遺失的風險。
限制
僅適用於採用下列資料庫版本的 SQL Server 適用的 Cloud SQL 執行個體：
- SQL Server Enterprise
- SQL Server 2019 以上版本 (Standard 版本)
如果執行個體有副本，且已啟用 TDE 和 VPC Service Controls，請務必確保主要執行個體和所有副本都位於同一個 service perimeter。
您無法刪除由 Cloud SQL 管理的 TDE 憑證。
無法刪除使用中的 TDE 憑證。
您無法直接將外部 TDE 憑證匯入副本執行個體。
每個執行個體最多可匯入十個 TDE 憑證。如需匯入更多憑證，請使用
msdb.dbo.gcloudsql_drop_tde_user_certificate預存程序刪除不必要的憑證。