מידע על הצפנת נתונים שקופה (TDE)

בדף הזה מתואר תהליך ההצפנה השקופה של נתונים (TDE) ב-Cloud SQL ל-SQL Server.

ב-Cloud SQL ל-SQL Server אפשר להשתמש ב-TDE כדי להצפין נתונים שמאוחסנים במופעים של Cloud SQL ל-SQL Server. התכונה TDE מצפינה נתונים באופן אוטומטי לפני שהם נכתבים באחסון, ומפענחת נתונים באופן אוטומטי כשהם נקראים מהאחסון.

הצפנה שקופה של נתונים (TDE) משמשת בתרחישים שבהם נדרשת שכבת הצפנה נוספת, בנוסף להצפנה של נתונים באחסון ש-Google מציעה כברירת מחדל, ומפתחות הצפנה בניהול הלקוח (CMEK) ש-Google מציעה כאפשרות. באופן ספציפי, אפשר להשתמש ב-TDE כדי לעמוד בדרישות של תאימות לתקנות, כמו תקן אבטחת הנתונים בתעשיית כרטיסי התשלום (PCI DSS), או כשמייבאים או מייצאים גיבויים מוצפנים.

איך TDE עובד

הצפנת TDE ב-Cloud SQL ל-SQL Server מספקת ניהול של מפתחות הצפנה באמצעות ארכיטקטורת מפתחות דו-שכבתית. אישור שנוצר מהמפתח הראשי של מסד הנתונים משמש להגנה על המפתחות להצפנת נתונים. המפתח להצפנת מסד הנתונים מבצע את ההצפנה והפענוח של הנתונים במסד הנתונים של המשתמש. ‫Cloud SQL מנהל גם את המפתח הראשי של מסד הנתונים וגם את אישור ה-TDE.

  • לכל מופע מתאים של Cloud SQL ל-SQL Server מוקצה אישור TDE ייחודי שתקף לשנה אחת. ‫Cloud SQL ל-SQL Server מבצע רוטציה אוטומטית של האישור הזה מדי שנה.

  • אפשר לייבא אישורי TDE חיצוניים למופע, אבל צריך לבצע רוטציה שלהם באופן ידני.

  • אם למכונה יש רפליקות, כל אישורי ה-TDE, כולל אלה שמנוהלים על ידי Cloud SQL ואלה שיובאו באופן ידני, מופצים אוטומטית לכל הרפליקות.

  • במופעים שבהם TDE מופעל, נוצר מסד נתונים פנימי בשם gcloud_cloudsqladmin. מסד הנתונים הזה שמור לתהליכים פנימיים של Cloud SQL, המשתמשים לא יכולים לגשת אליו, הוא מכיל כמות מינימלית של נתונים ועלות האחסון שלו זניחה.

  • ‫Cloud SQL ל-SQL Server משתמש בתחילית השמות gcloud_tde_system_ כשמקצים אישור TDE.

  • כל האישורים המיובאים משתמשים בקידומת השמות gcloud_tde_user_CERT_NAME_UUID.

  • אחרי שמייבאים או מחליפים אישור במופע שמופעלים בו גם TDE וגם שחזור לנקודת זמן מסוימת (PITR), המופע יוצר גיבוי חדש. הפעולה הזו עוזרת לצמצם את הסיכון לאובדן אישורים אם תרצו לשחזר מסד נתונים מוצפן לנקודת זמן לפני שהאישור היה נגיש למופע.

מגבלות

  • האפשרות הזו זמינה רק במכונות של Cloud SQL ל-SQL Server עם הגרסאות הבאות של מסד הנתונים:

    • SQL Server Enterprise
    • ‫SQL Server 2019 ואילך (מהדורת Standard)

  • אם נעשה שימוש ב-TDE במופע עם רפליקות ומופעלים VPC Service Controls, צריך לוודא שהמופע הראשי וכל הרפליקות נמצאים באותו גבולות גזרה לשירות.

    מידע נוסף זמין במאמרים הגדרה של VPC Service Controls וסקירה כללית על VPC Service Controls.

  • אי אפשר למחוק אישור TDE שמנוהל על ידי Cloud SQL.

  • אי אפשר למחוק אישור TDE בזמן שהוא בשימוש.

  • אי אפשר לייבא ישירות אישורי TDE חיצוניים למופעי העתקה.

  • אפשר לייבא עד עשרה אישורי TDE לכל מופע. אם צריך לייבא עוד אישורים, צריך למחוק אישורים מיותרים באמצעות msdb.dbo.gcloudsql_drop_tde_user_certificateהפרוצדורה המאוחסנת.

המאמרים הבאים