PolarDB:Configurar el cifrado transparente de datos (TDE)

Requisitos previos

• KMS está activado. Para obtener más información, consulte Purchase a Dedicated KMS instance.

• PolarDB tiene autorización para acceder a KMS. Para obtener más información, consulte Authorize PolarDB to access KMS.

• Su clúster de PolarDB for PostgreSQL cumple con los siguientes requisitos:

  • Versión del kernel:

    • PostgreSQL 14 (versión de revisión del kernel 2.0.14.12.23.1 o posterior)

    • PostgreSQL 16 (versión de revisión del kernel 2.0.16.9.6.0 o posterior)

    • PostgreSQL 17 (versión de revisión del kernel 2.0.17.6.4.0 o posterior)

    • PostgreSQL 18 (versión de revisión del kernel 2.0.18.0.1.0 o posterior)

  • Los clústeres de PolarDB for PostgreSQL (Distributed Edition) no son compatibles.

• La versión de su clúster de debe ser , y la versión de revisión del kernel debe ser 2.0.14.12.23.1 o posterior.

Contexto

TDE cifra los datos en reposo en la capa de base de datos. Esto evita que los usuarios del sistema operativo y los atacantes lean datos confidenciales en texto plano desde archivos de tablespace, discos o copias de seguridad. Las aplicaciones y los usuarios autenticados por la base de datos pueden seguir accediendo a los datos de forma transparente, sin necesidad de modificar el código ni la configuración de la aplicación.

La función TDE de PolarDB for PostgreSQL y utiliza claves generadas y gestionadas por . PolarDB no proporciona las claves ni los certificados obligatorios para el cifrado. Puede usar claves generadas automáticamente por Alibaba Cloud o utilizar su propio material de claves para generar claves de datos y, después, autorizar a PolarDB para que las use.

Limitaciones

• Una vez habilitado TDE, no es posible deshabilitarlo.

• En cargas de trabajo I/O bound, habilitar TDE podría afectar ligeramente el rendimiento de la base de datos.

Procedimiento

Para habilitar TDE al crear un clúster, consulte Create a database cluster o . A continuación se describe cómo habilitar TDE en un clúster de PolarDB existente.

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. En la barra de navegación superior, seleccione la región donde se despliega el clúster y, a continuación, haga clic en el ID del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña TDE Settings, active el interruptor TDE Status.

   Una vez habilitado TDE, no es posible deshabilitarlo. Proceda con precaución.

4. En el cuadro de diálogo que aparece, seleccione Use Default Key CMK o Use Existing Custom Key.

   • Si selecciona Use Default Key CMK, haga clic en OK para habilitar TDE.

     Importante: Habilitar TDE reinicia la instancia de PolarDB y tarda aproximadamente 10 minutos. Esta operación requiere una cuenta root o una cuenta con el permiso AliyunSTSAssumeRoleAccess. La clave deja de estar disponible si se deshabilita, se programa para su eliminación o se elimina su material de claves. Si revoca la autorización, la instancia dejará de estar disponible tras un reinicio. Solo se admite el tipo de clave Aliyun_AES_256.

   • Si selecciona Use Existing Custom Key, seleccione una clave generada por KMS en la lista desplegable y haga clic en OK para habilitar TDE.

     En el cuadro de diálogo Configure TDE, también puede habilitar Automatic TDE Key Rotation, que está deshabilitada de forma predeterminada. Importante: Habilitar TDE reinicia la instancia de PolarDB y tarda aproximadamente 10 minutos. Esta operación requiere una cuenta root o una cuenta con el permiso AliyunSTSAssumeRoleAccess. Deshabilitar la clave hace que deje de estar disponible. Si revoca la autorización, la instancia dejará de estar disponible tras un reinicio. El único tipo de clave compatible es Aliyun_AES_256.

Habilitar TDE tarda aproximadamente 10 minutos en completarse.

Consultar el estado de TDE

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. En la barra de navegación superior, seleccione la región donde se despliega el clúster y, a continuación, haga clic en el ID del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña TDE Settings, consulte el interruptor TDE Status.

Cambiar a una clave personalizada

1. Inicie sesión en la consola de PolarDB. En el panel de navegación izquierdo, haga clic en Clusters. En la barra de navegación superior, seleccione la región donde se despliega el clúster y, a continuación, haga clic en el ID del clúster.

2. En el panel de navegación izquierdo, elija Settings and Management > Security.

3. En la pestaña TDE Settings, haga clic en el interruptor TDE Status.

4. Una vez habilitado TDE, no es posible deshabilitarlo. Proceda con precaución.

5. En el cuadro de diálogo que aparece, seleccione Use Existing Custom Key, seleccione una clave generada por KMS en la lista desplegable y, a continuación, haga clic en OK.

   Nota

   Para consultar las notas sobre el uso de una clave personalizada existente, consulte la información de la sección Procedure.

Configuración avanzada

Puede habilitar Automatic TDE Key Rotation de cualquiera de las siguientes maneras:

• Al habilitar TDE y seleccionar el uso de una clave personalizada, puede habilitar Automatic TDE Key Rotation en la sección Advanced Settings del cuadro de diálogo Configure TDE.

  Antes de habilitar esta función, tenga en cuenta que la rotación automática de claves solo es compatible con claves personalizadas. PolarDB no actualiza automáticamente la versión de la clave; debe actualizarla manualmente en KMS. Después de habilitar esta función, PolarDB rota la clave de TDE y reinicia la instancia durante la siguiente ventana de mantenimiento. Además, considere lo siguiente al habilitar TDE: el proceso tarda aproximadamente 10 minutos y reinicia la instancia. Debe ejecutarse con una cuenta root o con una cuenta que tenga el permiso AliyunSTSAssumeRoleAccess. La instancia dejará de estar disponible si la clave se deshabilita o se elimina, o si se revoca la autorización y se reinicia la instancia. El único tipo de clave compatible es Aliyun_AES_256.

• Después de habilitar TDE con una clave personalizada, habilite Automatic TDE Key Rotation en la sección Advanced Settings de la pestaña Configure TDE.

Preguntas frecuentes

• ¿Puedo seguir usando herramientas comunes de base de datos, como Navicat, después de habilitar TDE?

  Sí, puede hacerlo.

• ¿Por qué los datos se muestran en texto plano después de habilitar el cifrado?

  Al consultar datos, estos se descifran y se leen en la memoria, por eso se muestran en texto plano. Los datos en reposo permanecen cifrados después de habilitar TDE.

API relacionadas