Usar arquivos de backup criptografados do SQL Server

Nesta página, descrevemos como usar arquivos de backup criptografados para migrar de fontes autogerenciadas ou do Amazon RDS para o Cloud SQL para SQL Server.

O Database Migration Service é totalmente compatível com backups criptografados do SQL Server de origens autogerenciadas e do Amazon RDS. É possível fazer upload da chave de criptografia para o Google Cloud para que o Database Migration Service possa descriptografar os dados com segurança e carregá-los na instância de destino do Cloud SQL para SQL Server sem comprometer a segurança dos dados.

Se você quiser usar arquivos de backup criptografados, criptografe todos os arquivos de backup (completo, diferencial, registro de transações) usados para um banco de dados específico incluído na migração. Ou seja, se você quiser criptografar o arquivo de backup completo, também precisará criptografar o arquivo de backup diferencial e os arquivos de registro de transações usados para esse banco de dados. Todos os arquivos de backup precisam ser criptografados com a mesma chave.

A criptografia de backup é avaliada por banco de dados. Por exemplo, se você migrar dois bancos de dados da instância de origem do SQL Server: my-business-database e my-other-database, será possível usar backups criptografados de forma independente para my-business-database, my-other-database ou ambos os bancos de dados.

Para usar backups criptografados na migração, siga estas etapas:

  1. Faça o backup da instância de origem do SQL Server e use os recursos de criptografia. Salve as chaves de criptografia em um local seguro para fazer upload delas para o Cloud Storage mais tarde. Consulte Criptografia de backup na documentação da Microsoft.

  2. Faça upload das chaves de criptografia para um bucket do Cloud Storage.

  3. Somente Google Cloud CLI: crie um arquivo de mapeamento no formato JSON para corresponder as chaves de criptografia com os bancos de dados relevantes incluídos no job de migração. O arquivo de mapeamento é uma matriz de objetos que representam mapeamentos para um único banco de dados. Exemplo de arquivo de configuração:

    [
{
  "database": "db1",
  "encryptionOptions": {
    "certPath": "Path to certificate 1",
    "pvkPath": "Path to certificate private key 1",
    "pvkPassword": "Private key password 1"
  }
},
{
  "database": "db2",
  "encryptionOptions": {
    "certPath": "Path to certificate 2",
    "pvkPath": "Path to certificate private key 2",
    "pvkPassword": "Private key password 2"
  }
}
]

    Em que:

    • database é o identificador do banco de dados. Esse identificador precisa corresponder aos nomes das pastas do banco de dados no Cloud Storage.
    • certPath, pvkPath e pvkPassword são caminhos do Cloud Storage para os arquivos de certificado no formato gs://BUCKET_NAME/OBJECT_NAME. Por exemplo: gs://my-bucket-name/certificate-folder/certificate-key-file1. Para mais informações, consulte Namespaces de objetos na documentação do Cloud Storage.

  4. Forneça os caminhos do Cloud Storage para suas chaves de criptografia ao criar o job de migração.

  5. Ao criar mais arquivos de backup (o arquivo de backup diferencial ou os arquivos de registro de transações), criptografe-os com a mesma chave de criptografia usada para o backup completo.