Halaman ini menjelaskan enkripsi data transparan (TDE) di Cloud SQL untuk SQL Server.
Cloud SQL untuk SQL Server mendukung penggunaan TDE untuk mengenkripsi data yang disimpan di instance Cloud SQL untuk SQL Server. TDE otomatis mengenkripsi data sebelum ditulis ke penyimpanan, dan otomatis mendekripsi data saat data dibaca dari penyimpanan.
TDE digunakan dalam skenario yang memerlukan lapisan enkripsi lain selain penawaran enkripsi default Google untuk data tidak aktif dan penawaran opsional Google berupa Kunci enkripsi yang dikelola pelanggan (CMEK). Secara khusus, Anda dapat menggunakan TDE untuk membantu memenuhi persyaratan kepatuhan terhadap peraturan seperti Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) atau saat mengimpor atau mengekspor cadangan terenkripsi.
Cara kerja TDE
TDE untuk Cloud SQL untuk SQL Server menyediakan pengelolaan kunci enkripsi dengan menggunakan arsitektur kunci dua tingkat. Sertifikat, yang dibuat dari kunci utama database, digunakan untuk melindungi kunci enkripsi data. Kunci enkripsi database melakukan enkripsi dan dekripsi data pada database pengguna. Cloud SQL mengelola kunci utama database dan sertifikat TDE.
Setiap instance Cloud SQL untuk SQL Server yang memenuhi syarat dilengkapi dengan sertifikat TDE unik yang berlaku selama satu tahun. Cloud SQL untuk SQL Server otomatis merotasi sertifikat ini setiap tahun.
Anda dapat mengimpor sertifikat TDE eksternal ke instance, tetapi Anda harus merotasinya secara manual.
Jika instance memiliki replika, semua sertifikat TDE, termasuk yang dikelola oleh Cloud SQL dan yang Anda impor secara manual, akan otomatis didistribusikan ke semua replika.
Instance dengan TDE yang diaktifkan akan membuat database internal bernama
gcloud_cloudsqladmin. Database ini dicadangkan untuk proses Cloud SQL internal, tidak dapat diakses oleh pengguna, menyimpan data minimal, dan memiliki biaya penyimpanan yang dapat diabaikan.Cloud SQL untuk SQL Server menggunakan awalan penamaan
gcloud_tde_system_saat menyediakan sertifikat TDE.Setiap sertifikat yang diimpor menggunakan
gcloud_tde_user_CERT_NAME_UUID awalan penamaan.Setelah Anda mengimpor atau merotasi sertifikat pada instance yang mengaktifkan TDE dan pemulihan point-in-time (PITR), instance akan membuat cadangan baru. Hal ini membantu mengurangi risiko kehilangan sertifikat jika dan saat Anda ingin memulihkan database terenkripsi ke titik waktu sebelum sertifikat dapat diakses oleh instance.
Batasan
Hanya tersedia di instance Cloud SQL untuk SQL Server dengan versi database berikut:
- SQL Server Enterprise
- SQL Server 2019 atau yang lebih baru (edisi Standar)
Jika TDE digunakan untuk instance dengan replika dan Kontrol Layanan VPC diaktifkan, Anda harus memastikan instance utama dan semua replika berada dalam perimeter layanan yang sama.
Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi Kontrol Layanan VPC dan Ringkasan Kontrol Layanan VPC.
Anda tidak dapat menghapus sertifikat TDE yang dikelola oleh Cloud SQL.
Anda tidak dapat menghapus sertifikat TDE saat sertifikat tersebut sedang digunakan.
Anda tidak dapat mengimpor sertifikat TDE eksternal secara langsung ke instance replika.
Anda dapat mengimpor hingga sepuluh sertifikat TDE per instance. Jika Anda perlu mengimpor lebih banyak, hapus sertifikat yang tidak diperlukan menggunakan prosedur tersimpan
msdb.dbo.gcloudsql_drop_tde_user_certificate.