ApsaraDB RDS:概要

説明

常時機密データベース機能は、機密コンピューティングを使用して、トランザクション、クエリ、分析などのすべてのデータベース操作をサポートし、クエリ結果が返される前に暗号化します。 常時機密データベース機能により、データはアプリケーションやデータベースなどの安全なエンクレーブ内で処理されますが、エンクレーブ外では暗号文のままです。 これにより、クラウドプラットフォームのプロバイダー、権限のないユーザー、およびデータベース管理者 (DBA) などの管理担当者が平文データにアクセスできなくなります。 これにより、開発者やO&M担当者がデータを盗むこともできなくなります。 常に機密性の高いデータベース機能は、外部および内部の脅威から効率的に防御し、ライフサイクル全体を通してデータを保護し、クラウドデータの民営化に役立ちます。

• 常に機密性の高いデータベース機能により、データがクラウドに流出しないようにするにはどうすればよいですか?

  常時機密データベース機能は、クエリ結果で保護する必要があるデータを暗号化します。 このように、関連するアカウントの資格情報が漏洩しても、データは機密を保持します。 この機能は、データ侵害に対する堅牢な防御を提供します。 常時機密データベース機能をクラウドディスク暗号化機能または透過データ暗号化 (TDE) 機能とともに使用して、多層暗号化を実装できます。 クラウドディスク暗号化機能とTDE機能の両方が、ディスク暗号化機能を提供します。 クラウドディスクの暗号化機能と常時機密データベース機能を併用することを推奨します。 詳細については、「クラウドディスク暗号化機能の使用」および「TDEの設定」をご参照ください。

  説明

  ビジネス要件に基づいて、常時機密データベース機能をディスク暗号化機能とともに使用できます。

シナリオ

常時機密データベース機能の目標は、ネイティブセキュリティ機能を備えたデータの機密性を保護するシステムまたはデータベースアーキテクチャの設計です。 常に機密性の高いデータベース機能は、設計を最適化し、アーキテクチャを調整してセキュリティ機能を導入し、データベースシステムの高い安定性、高いパフォーマンス、および費用対効果を確保します。

次の一覧では、常に機密のデータベース機能を使用してデータセキュリティの問題に対処できるいくつかのシナリオについて説明します。

• プラットフォームO&M: このシナリオでは、主にサードパーティ製プラットフォームなどのTEEでデータベースサービスを保護し、O&M中のデータセキュリティを確保します。ほとんどの場合、データ所有者はアプリケーションサービスプロバイダーです。 不正なデータベースサービスプロバイダーやO&M担当者がアプリケーションデータにアクセスしないようにし、データベースが期待どおりに実行されるようにしたいと考えています。

  例：

  • データベースがクラウドに移行された場合、常に機密性の高いデータベース機能により、不正なクラウドプラットフォームプロバイダーやO&M担当者がデータベースデータにアクセスできなくなります。

  • データベースシステムがアプリケーション接続のためにデータセンターのサーバーにデプロイされている場合、常に機密性の高いデータベース機能により、不正なO&M担当者がデータベースデータにアクセスできなくなります。  

• 保護されたデータコンプライアンス: このシナリオでは、主に、保護されたユーザーデータのセキュリティを確保するために、サードパーティのプラットフォームなどのTEEでのアプリケーションサービス保護が含まれます。 ユーザー指向のシナリオでは、健康データや財務データなどの特定のデータがユーザーによって所有されます。 アプリケーションサービスが、平文のプライベートデータにアクセスせずにデータ管理および分析機能を提供することを望んでいます。

  例：

  • 企業がサードパーティサービスを使用して商用データを管理する場合、常時機密データベース機能は、企業の企業秘密がサードパーティサービスプロバイダーによって取得されるのを防ぎます。

  • サードパーティのサービスプロバイダーが個人を特定できる情報 (PII) や遺伝子情報などの機密データを管理する場合、常に機密のデータベース機能はエンドツーエンドの暗号化に関するコンプライアンス要件を満たすのに役立ちます。  

常時機密データベース機能によるセキュリティレベル

セキュリティの観点から、ApsaraDB RDSは次のレベルのセキュリティ脅威を昇順で防止できます。

• クラウド上の通常のデータベース: この機能は、Alibaba cloudセキュリティサービスとともに使用され、ほとんどの外部攻撃をブロックします。 ただし、RDSインスタンスのオペレーティングシステム、データベースソフトウェア、サービスとしてのインフラストラクチャ (IaaS) のO&M担当者、およびデータベースユーザーの間で信頼関係を構築する必要があります。

• 常時機密データベース (基本版): この機能を推奨します。 この機能は、常時機密アクセス制御モジュールと共に使用され、データベース内のデータを操作するデータベースユーザの能力を制限する。 これにより、不正アクセスを防ぎ、DBAを含むすべてのデータベースユーザーにはデータを使用できますが、表示されません。 RDSインスタンスのオペレーティングシステム、データベースソフトウェア、およびIaaS O&M担当者のみを信頼する必要があります。

• 常時機密データベース (ハードウェア拡張版): 常時機密データベース (基本版) 機能と比較して、この機能はTEEテクノロジーを使用して、常時機密データベース (基本版) 機能を使用するRDSインスタンスをTEE環境で実行し、すべての外部セキュリティ脅威を隔離します。 TEEテクノロジには、Intel Software Guard Extensions (SGX) 、Intel Trust Domain Extensions (TDX) 、ARM TrustZone、AMD Secure Encrypted Virtualization (SEV) 、Hygon Commercial Security Version (CSV) 、および機密コンテナが含まれます。 RDSインスタンスのオペレーティングシステムとデータベースソフトウェアのみを信頼する必要があります。