이 페이지에서는 SQL Server용 Cloud SQL의 투명 데이터 암호화(TDE)를 설명합니다.
SQL Server용 Cloud SQL은 TDE를 사용하여 SQL Server용 Cloud SQL 인스턴스에 저장된 데이터를 암호화하는 기능을 지원합니다. TDE는 데이터가 스토리지에 작성되기 전에 자동으로 데이터를 암호화하고 스토리지에서 데이터를 읽을 때 자동으로 복호화합니다.
TDE는 Google의 기본 제공 저장 데이터 암호화 및 Google의 선택적 제공 고객 관리 암호화 키(CMEK) 외에도 추가 암호화 레이어가 필요한 시나리오에 사용됩니다.
특히 결제 카드 산업 데이터 보안 표준(PCI DSS)과 같은 규정 준수 요구사항을 충족하거나 암호화된 백업을 가져오거나 내보낼 때 TDE를 사용할 수 있습니다.
TDE 작동 방식
SQL Server용 Cloud SQL를 위한 TDE는 2계층 키 아키텍처를 사용하여 암호화 키 관리를 제공합니다. 데이터베이스 기본 키에서 생성된 인증서는 데이터 암호화 키를 보호하는 데 사용됩니다. 데이터베이스 암호화 키는 사용자 데이터베이스에서 데이터의 암호화 및 복호화를 실행합니다. Cloud SQL은 데이터베이스 기본 키와 TDE 인증서를 모두 관리합니다.
요건을 충족하는 각 SQL Server용 Cloud SQL 인스턴스는 1년 동안 유효한 고유한 TDE 인증서로 프로비저닝됩니다. SQL Server용 Cloud SQL은 이 인증서를 매년 자동으로 순환합니다.
외부 TDE 인증서를 인스턴스로 가져올 수 있지만 이러한 인증서는 수동으로 순환해야 합니다.
인스턴스에 복제본이 있는 경우 Cloud SQL에서 관리하는 인증서와 수동으로 가져온 인증서를 비롯한 모든 TDE 인증서가 모든 복제본에 자동으로 배포됩니다.
TDE가 사용 설정된 인스턴스는 gcloud_cloudsqladmin이라는 내부 데이터베이스를 생성합니다. 이 데이터베이스는 내부 Cloud SQL 프로세스용으로 예약되어 있으며, 사용자에게는 액세스 권한이 없고, 최소한의 데이터를 저장하며, 스토리지 비용이 미미합니다.
SQL Server용 Cloud SQL은 TDE 인증서를 프로비저닝할 때 gcloud_tde_system_ 이름 지정 프리픽스를 사용합니다.
가져온 인증서는 gcloud_tde_user_CERT_NAME_UUID 이름 지정 프리픽스를 사용합니다.
TDE와 PITR(point-in-time recovery)이 모두 사용 설정된 인스턴스에서 인증서를 가져오거나 순환하면 인스턴스에서 새 백업을 만듭니다. 이렇게 하면 암호화된 데이터베이스를 인증서에 인스턴스가 액세스할 수 있기 전의 시점으로 복원하려는 경우 인증서가 손실될 위험을 줄일 수 있습니다.
제한사항
다음 데이터베이스 버전이 있는 SQL Server용 Cloud SQL 인스턴스에서만 사용할 수 있습니다.
SQL Server Enterprise
SQL Server 2019 이상(Standard 버전)
복제본이 있는 인스턴스에 TDE가 사용되고 VPC 서비스 제어가 사용 설정된 경우 기본 인스턴스와 모든 복제본이 동일한 서비스 경계 내에 있는지 확인해야 합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-19(UTC)"],[],[],null,["# About transparent data encryption (TDE)\n\n\u003cbr /\u003e\n\nMySQL \\| PostgreSQL \\| SQL Server\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nThis page describes transparent data encryption (TDE) in Cloud SQL for SQL Server.\n\nCloud SQL for SQL Server supports using TDE to encrypt data stored in your\nCloud SQL for SQL Server instances. TDE automatically encrypts data\nbefore it is written to storage, and automatically decrypts data when the data\nis read from storage.\n\nTDE is used in scenarios where another layer of encryption is\nrequired in addition to Google's default offering of [encryption for data at rest](/docs/security/encryption/default-encryption)\nand Google's optional offering of [Customer-managed encryption keys (CMEK)](/sql/docs/sqlserver/cmek).\nSpecifically, you can use TDE to help you meet regulatory compliance\nrequirements such as Payment Card Industry Data Security Standard (PCI DSS)\nor when importing or exporting encrypted backups.\n\nHow TDE works\n-------------\n\nTDE for Cloud SQL for SQL Server provides encryption key management by\nusing a two-tier key architecture. A certificate, which is generated from the\ndatabase primary key, is used to protect the data encryption keys. The database\nencryption key performs the encryption and decryption of data on the user\ndatabase. Cloud SQL manages both the database primary key and the\nTDE certificate.\n\n- Each eligible Cloud SQL for SQL Server instance is provisioned with a unique\n TDE certificate that's valid for one year. Cloud SQL for SQL Server\n automatically rotates this certificate annually.\n\n- You can import external TDE certificates to the instance, but you\n must rotate these manually.\n\n- If the instance has replicas, then all TDE certificates,\n including those managed by Cloud SQL and those you imported manually,\n are automatically distributed across all replicas.\n\n- Instances with TDE enabled generate an internal database called\n `gcloud_cloudsqladmin`. This database is reserved for internal\n Cloud SQL processes, isn't accessible to users, stores minimal data,\n and has negligible storage cost.\n\n- Cloud SQL for SQL Server uses the `gcloud_tde_system_` naming prefix when\n provisioning a TDE certificate.\n\n- Any imported certificates use the\n `gcloud_tde_user_`\u003cvar translate=\"no\"\u003eCERT_NAME\u003c/var\u003e`_`\u003cvar translate=\"no\"\u003eUUID\u003c/var\u003e\n naming prefix.\n\n- After you either import or rotate a certificate on an instance that\n has both TDE and point-in-time recovery (PITR) enabled, the instance creates a\n new backup. This helps reduce the risk of certificate loss if and when you want\n to restore an encrypted database to a point in time before the certificate was\n accessible to the instance.\n\nLimitations\n-----------\n\n- Available only in Cloud SQL for SQL Server instances with the following database\n [versions](/sql/docs/sqlserver/editions-intro#edition-features):\n\n - SQL Server Enterprise\n - SQL Server 2019 or later (Standard edition)\n- If TDE is used for an instance with replicas and\n VPC Service Controls are enabled, then you must ensure the primary instance\n and all replicas are within the same service perimeter.\n\n For more information, see [Configure VPC Service Controls](/sql/docs/sqlserver/admin-api/configure-service-controls)\n and [Overview of VPC Service Controls](/vpc-service-controls/docs/overview).\n- You can't delete a TDE certificate that is managed by\n Cloud SQL.\n\n- You can't delete a TDE certificate while it is in use.\n\n- You can't directly import external TDE certificates to replica\n instances.\n\n- You can import up to ten TDE certificates per instance. If you\n need to import more, delete any unnecessary certificates using the\n `msdb.dbo.gcloudsql_drop_tde_user_certificate` stored procedure.\n\nWhat's next\n-----------\n\n- [Use TDE](/sql/docs/sqlserver/use-tde)"]]
