PolarDB:Configurar TDE

Requisitos previos

• KMS está activado. Para obtener más información, consulte Purchase a Dedicated KMS instance.

• Se otorgó a PolarDB la autorización para acceder a KMS. Para obtener más información, consulte Authorize PolarDB to access KMS.

• Su clúster de cumple con los siguientes requisitos:

  • Versión del kernel:

    • (versión de revisión del kernel 2.0.14.12.23.1 o posterior)

    • (versión de revisión del kernel 2.0.16.9.6.0 o posterior)

    • (versión de revisión del kernel 2.0.17.6.4.0 o posterior)

    • (versión de revisión del kernel 2.0.18.0.1.0 o posterior)

  • Los clústeres de PolarDB for PostgreSQL (Distributed Edition) no son compatibles.

• La versión de su clúster de PolarDB for PostgreSQL (Compatible with Oracle) debe ser Oracle syntax compatibility 2.0, y la versión de revisión del kernel debe ser 2.0.14.12.23.1 o posterior.

Contexto

TDE cifra los datos en reposo en la capa de la base de datos. Esto evita que los atacantes evadan la base de datos y lean información confidencial directamente desde el almacenamiento. Las aplicaciones y los usuarios autenticados por la base de datos siguen accediendo a los datos de forma transparente, sin necesidad de modificar el código ni la configuración de la aplicación. Sin embargo, se deniega el acceso a los datos en texto plano a los usuarios del sistema operativo que intenten leer información confidencial en los archivos de tablespace, así como a los usuarios no autorizados que intenten leer datos de discos o copias de seguridad.

Las claves de cifrado que utiliza TDE en PolarDB for PostgreSQL (Compatible with Oracle) se generan y gestionan mediante Key Management Service (KMS). PolarDB no proporciona las claves ni los certificados obligatorios para el cifrado. Puede usar las claves que Alibaba Cloud genera automáticamente o utilizar su propio material de claves para generar claves de datos y autorizar a PolarDB a usarlas.

Límites

• Una vez habilitada, TDE no se puede deshabilitar.

• En cargas de trabajo I/O bound, habilitar TDE podría afectar ligeramente el rendimiento de la base de datos.

Procedimiento

Para habilitar TDE al crear un clúster, consulte o Create a PolarDB for PostgreSQL (Compatible with Oracle) cluster. A continuación se describe cómo habilitar TDE en un clúster de PolarDB existente.

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. En la barra de navegación superior, seleccione la región donde se despliega el clúster y luego haga clic en el identificador del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña TDE Settings, active el interruptor TDE Status.

   Una vez habilitado TDE, no se puede deshabilitar. Proceda con precaución.

4. En el cuadro de diálogo que aparece, seleccione Use Default Key CMK o Use Existing Custom Key.

   • Si selecciona Use Default Key CMK, haga clic en OK para habilitar TDE.

     Importante: Habilitar TDE reinicia la instancia de PolarDB y tarda aproximadamente 10 minutos. Esta operación requiere una cuenta root o una cuenta con el permiso AliyunSTSAssumeRoleAccess. La clave deja de estar disponible si se deshabilita, si se programa para eliminación o si se elimina su material de claves. Si revoca la autorización, la instancia dejará de estar disponible después de reiniciarse. Solo se admite el tipo de clave Aliyun_AES_256.

   • Si selecciona Use Existing Custom Key, elija una clave generada por KMS en la lista desplegable y haga clic en OK para habilitar TDE.

     En el cuadro de diálogo Configure TDE, también puede habilitar Automatic TDE Key Rotation, que está deshabilitada de forma predeterminada. Importante: Habilitar TDE reinicia la instancia de PolarDB y tarda aproximadamente 10 minutos. Esta operación requiere una cuenta root o una cuenta con el permiso AliyunSTSAssumeRoleAccess. Deshabilitar la clave hace que deje de estar disponible. Si revoca la autorización, la instancia dejará de estar disponible después de reiniciarse. El único tipo de clave compatible es Aliyun_AES_256.

Habilitar TDE tarda aproximadamente 10 minutos en completarse.

Consultar el estado de TDE

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. En la barra de navegación superior, seleccione la región donde se despliega el clúster y luego haga clic en el identificador del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña TDE Settings, consulte el interruptor TDE Status.

Cambiar a una clave personalizada

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. En la barra de navegación superior, seleccione la región donde se despliega el clúster y luego haga clic en el identificador del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña TDE Settings, haga clic en el interruptor TDE Status.

4. Una vez habilitada, TDE no se puede deshabilitar. Proceda con precaución.

5. En el cuadro de diálogo que aparece, seleccione Use Existing Custom Key, elija una clave generada por KMS en la lista desplegable y luego haga clic en OK.

   Nota

   Para consultar las notas sobre el uso de una clave personalizada existente, revise la información de la sección Procedure.

Configuración avanzada

Puede habilitar Automatic TDE Key Rotation de las siguientes maneras:

• Al habilitar TDE y seleccionar una clave personalizada, habilite Automatic TDE Key Rotation en la sección Advanced Settings del cuadro de diálogo Configure TDE.

  Antes de habilitar esta función, tenga en cuenta que la rotación automática de claves solo es compatible con claves personalizadas. PolarDB no actualiza automáticamente la versión de la clave; debe actualizarla de forma manual en KMS. Después de habilitar esta función, PolarDB rota la clave TDE y reinicia la instancia durante la siguiente ventana de mantenimiento. Además, considere lo siguiente al habilitar TDE: el proceso tarda aproximadamente 10 minutos y reinicia la instancia. Debe ejecutarse con una cuenta root o con una cuenta que tenga el permiso AliyunSTSAssumeRoleAccess. La instancia deja de estar disponible si la clave se deshabilita o se elimina, o si se revoca la autorización y la instancia se reinicia. El único tipo de clave compatible es Aliyun_AES_256.

• Después de habilitar TDE con una clave personalizada, active Automatic TDE Key Rotation en la sección Advanced Settings de la pestaña Configure TDE.

Preguntas frecuentes

• ¿Puedo seguir usando herramientas comunes de bases de datos, como Navicat, después de habilitar TDE?

  Sí, puede hacerlo.

• ¿Por qué los datos se muestran en texto plano después de habilitar el cifrado?

  Al consultar datos, estos se descifran y se leen en la memoria, por eso se muestran en texto plano. Los datos en reposo permanecen cifrados después de habilitar TDE.

API relacionadas