PolarDB:PolarDBクラスターのTDEの設定

注意事項

• I/Oバインドシナリオでは、TDEがデータベースのパフォーマンスに悪影響を与える可能性があります。

• TDEは、グローバルデータベースネットワーク (GDN) に参加したクラスターで有効にできます。 GDNのプライマリクラスターでTDEを有効にすると、デフォルトでGDNのセカンダリクラスターでTDEが有効になります。 セカンダリクラスターで使用されるキーと、存在するキーのリージョンは、プライマリクラスターと同じである必要があります。 キーのリージョンは変更できません。

• GDNのセカンダリクラスターでTDEを有効にすることはできません。

手順

1. PolarDBコンソールにログインします。

2. 左上隅で、クラスターがデプロイされているリージョンを選択します。

3. クラスターを見つけて、そのIDをクリックします。

4. 左側のナビゲーションウィンドウで、設定と管理 > セキュリティ管理を選択します。

5. TDE設定タブで、TDEステータスをオンにします。

   

6. [TDEの設定] ダイアログボックスで、[KMSのデフォルトキーの使用] または [既存のカスタムキーの使用] を選択します。

   

   説明

   TDEは、Aliyun_AES_256およびAliyun_SM4キーをサポートしています。

   • 表示されるダイアログボックスで、[KMSのデフォルトキーを使用] を選択し、[OK] をクリックします。

   • [既存のカスタムキーを使用] を選択した場合、ドロップダウンリストからKMSによって生成されたキーを選択し、[OK] をクリックします。

     説明

     • カスタムキーがある場合は、次の要件が満たされていることを確認してください。

       • キー管理サービス (KMS) が有効化されています。 詳細については、「KMSの有効化」をご参照ください。

       • PolarDBクラスターがKMSへのアクセスを許可されています。 詳細については、「PolarDBクラスターによるKMSへのアクセス許可」をご参照ください。

       • Alibaba CloudアカウントまたはAliyunSTSAssumeRoleAccess権限を持つアカウントを使用する必要があります。

     • カスタムキーがない場合は、[KMSコンソールに移動] をクリックする必要があります。 KMSコンソールでは、キーを作成し、独自のキーマテリアルをインポートできます。 詳細については、CMK の作成をご参照ください。

     • TDEに既存のカスタムキーを使用する場合は、次の情報に注意してください。

       • キーを無効にするか、キーを削除する計画を設定するか、キーマテリアルを削除すると、キーは使用できなくなります。

       • PolarDB for MySQLクラスターへの権限付与を取り消すと、クラスターの再起動後にクラスターは使用できなくなります。

   TDEを有効にするには約10分かかります。

拡張設定

テーブルの暗号化と復号化

alter table <tablename> block_format=encrypted;

alter table <tablename> encryption= 'Y';

alter table <tablename> block_format=default;

alter table <tablename> encryption= 'N';