ApsaraDB RDS:バックアップ暗号化機能の使用

使用上の注意

• バックアップ暗号化機能を有効にすると、キーは変更できません。

• バックアップ暗号化機能を有効にすると、新しいバックアップファイルのみが暗号化されます。 既存のバックアップファイルは暗号化されません。

• バックアップ暗号化機能を有効にした後、RDSインスタンスのデータをオンプレミスデータベースに復元する場合は、バックアップファイルをダウンロードした後、RDSインスタンスのバックアップファイルを復号化する必要があります。 詳細については、「バックアップファイルの復号化」をご参照ください。

  説明

  ApsaraDB RDSコンソールを使用してバックアップファイルからRDSインスタンスのデータを直接復元する場合、バックアップファイルを復号化する必要はありません。 バックエンドは復元を実行する前に、バックアップファイルを自動的に復号化します。 詳細については、「完全データの復元」をご参照ください。

• バックアップ暗号化に既存のカスタムキーを使用する場合は、次の項目に注意してください。

  • キーを無効にするか、キーを削除する計画を設定するか、キーマテリアルを削除すると、キーは使用できなくなります。 この場合、O&M操作で、利用できないキーを使用して暗号化されたバックアップファイルが必要な場合、O&M操作は失敗します。 これにより、インスタンスの可用性が低下する可能性があります。 unavailableキーを使用して暗号化されたバックアップファイルからデータを復元すると、データの復元も失敗します。

  • Alibaba Cloudアカウントまたは次の権限を持つRAMユーザーを使用する必要があります。

    {
        "Version": "1",
        "Statement": [
            {
                "Action": [
                    "ram:CreateServiceLinkedRole"
                ],
                "Resource": "*",
                "Effect": "Allow",
                "Condition": {
                    "StringEquals": {
                        "ram:ServiceName": "backupencryption.rds.aliyuncs.com"
                    }
                }
            },
            {
                "Action": [
                    "kms:ListResourceTags" 、
                    「kms:TagResource」
                ],
                "Effect": "Allow",
                "Resource": [
                    "acs:kms:*:*:*"
                ]
            }
        ]
    }

    説明

    RAMコンソールを使用して、権限を設定し、RAMユーザーに権限を付与できます。 詳細については、「ApsaraDB RDSインスタンスの管理権限付与」をご参照ください。

バックアップ暗号化機能の有効化

1. [インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDSインスタンスを見つけ、インスタンスのIDをクリックします。

2. 左側のナビゲーションウィンドウで、[バックアップと復元] をクリックします。

3. On theバックアップと復元ページをクリックし、バックアップ戦略タブをクリックします。

4. クリック編集で、バックアップ暗号化設定オンにするセクションバックアップ暗号化ステータス.

5. では、バックアップセット暗号化情報ダイアログボックスの値を選択します。バックアップマスターキーパラメーターをクリックし、OK.

   • 自動生成キーの使用

     このオプションを選択すると、Alibaba Cloudはバックアップファイルの暗号化に使用できるキーを生成します。

   • 既存のカスタムキーの使用

     このオプションを選択した場合、KMSを使用して作成されたキーが使用されます。 キーが存在しない場合は、KMSを使用してキーを作成できます。 詳細については、「CMKの作成」をご参照ください。

     説明

     KMSを使用してカスタムキーを作成するのが初めての場合は、プロンプトに従って承認を取得する必要があります。

バックアップ暗号化機能を有効にすると、RDSインスタンスのバックアップファイルが暗号化されます。 Alibaba Cloudでこれらのバックアップファイルを使用する場合、これらのバックアップファイルを手動で復号化する必要はありません。 バックエンドは、データの復元などの操作を実行する前に、これらのバックアップファイルを自動的に復号します。 これらのバックアップファイルをコンピュータにダウンロードする場合は、これらのバックアップファイルを手動で復号化する必要があります。 これらのバックアップファイルを復号化する方法の詳細については、「バックアップファイルの復号化」をご参照ください。

バックアップファイルの復号化

このセクションでは、例としてUbuntu 16.04を使用してバックアップファイルを復号化する方法を示します。