Cette page décrit le chiffrement transparent des données (TDE, Transparent Data Encryption) dans Cloud SQL pour SQL Server.
Cloud SQL pour SQL Server est compatible avec le chiffrement TDE pour les données stockées dans vos instances Cloud SQL pour SQL Server. Le chiffrement TDE chiffre automatiquement les données avant qu'elles ne soient écrites dans le stockage et les déchiffre automatiquement lorsqu'elles sont lues à partir du stockage.
Le chiffrement TDE est utilisé dans les cas où une couche de chiffrement supplémentaire est requise en plus de l'offre par défaut de Google pour le chiffrement des données au repos et de l'offre facultative de Google pour les clés de chiffrement gérées par le client (CMEK). Plus précisément, vous pouvez utiliser le chiffrement TDE pour vous aider à respecter les exigences de conformité réglementaire, telles que la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS, Payment Card Industry Data Security Standard), ou lors de l'importation ou de l'exportation de sauvegardes chiffrées.
Fonctionnement du chiffrement TDE
Le chiffrement TDE pour Cloud SQL pour SQL Server assure la gestion des clés de chiffrement à l'aide d'une architecture de clés à deux niveaux. Un certificat, généré à partir de la clé primaire de la base de données, est utilisé pour protéger les clés de chiffrement des données. La clé de chiffrement de la base de données effectue le chiffrement et le déchiffrement des données dans la base de données utilisateur. Cloud SQL gère à la fois la clé primaire de la base de données et le certificat TDE.
Chaque instance Cloud SQL pour SQL Server éligible est provisionnée avec un certificat TDE unique, valide pendant un an. Cloud SQL pour SQL Server fait automatiquement tourner ce certificat chaque année.
Vous pouvez importer des certificats TDE externes dans l'instance, mais vous devez les faire tourner manuellement.
Si l'instance comporte des instances répliquées, tous les certificats TDE, y compris ceux gérés par Cloud SQL et ceux que vous avez importés manuellement, sont automatiquement distribués sur toutes les instances répliquées.
Les instances pour lesquelles le chiffrement TDE est activé génèrent une base de données interne appelée
gcloud_cloudsqladmin. Cette base de données est réservée aux processus Cloud SQL internes, n'est pas accessible aux utilisateurs, stocke un minimum de données et a un coût de stockage négligeable.Cloud SQL pour SQL Server utilise le préfixe de nommage
gcloud_tde_system_lors du provisionnement d'un certificat TDE.Tous les certificats importés utilisent le
gcloud_tde_user_CERT_NAME_UUID préfixe de nommage.Une fois que vous avez importé ou fait tourner un certificat sur une instance pour laquelle le chiffrement TDE et la récupération à un moment précis (PITR, Point-in-Time Recovery) sont activés, l'instance crée une sauvegarde. Cela permet de réduire le risque de perte de certificat si vous souhaitez restaurer une base de données chiffrée à un moment antérieur à celui où le certificat était accessible à l'instance.
Limites
Disponible uniquement dans les instances Cloud SQL pour SQL Server avec les versions de base de données suivantes :
- SQL Server Enterprise
- SQL Server 2019 ou version ultérieure (édition Standard)
Si le chiffrement TDE est utilisé pour une instance avec des instances répliquées et que VPC Service Controls est activé, vous devez vous assurer que l'instance principale et toutes les instances répliquées se trouvent dans le même périmètre de service.
Pour en savoir plus, consultez Configurer VPC Service Controls et Présentation de VPC Service Controls.
Vous ne pouvez pas supprimer un certificat TDE géré par Cloud SQL.
Vous ne pouvez pas supprimer un certificat TDE lorsqu'il est en cours d'utilisation.
Vous ne pouvez pas importer directement des certificats TDE externes dans des instances répliquées.
Vous pouvez importer jusqu'à dix certificats TDE par instance. Si vous devez en importer davantage, supprimez les certificats inutiles à l'aide de la procédure stockée
msdb.dbo.gcloudsql_drop_tde_user_certificate.