El cifrado de disco en la nube protege los datos de las instancias de ApsaraDB RDS for MariaDB al cifrar cada disco de datos en el nivel de block storage. Aunque se filtren las copias de seguridad, no es posible descifrarlas sin la clave correspondiente. Las instantáneas de una instancia cifrada se cifran automáticamente y no requieren cambios en la aplicación.
Esta función es gratuita. Las operaciones de lectura y escritura en discos cifrados no generan costos adicionales.
Requisitos previos
Antes de empezar, asegúrese de cumplir con lo siguiente:
Una instancia de RDS en proceso de creación: el cifrado de disco en la nube no se puede habilitar después de crear la instancia.
Una instancia creada en modo estándar.
Una clave creada según la versión de MariaDB de la instancia; consulte Create a CMK.
Selección del tipo de clave
El tipo de clave disponible depende de la versión de MariaDB y del tipo de instancia.
|
Versión de MariaDB |
Tipo de instancia |
Tipos de clave compatibles |
|
10.3 |
Cualquiera |
Solo clave maestra del cliente (CMK) |
|
10.6 |
Propósito general |
Solo clave de servicio administrada por ApsaraDB RDS |
|
10.6 |
Dedicada |
Clave de servicio administrada por ApsaraDB RDS o una CMK |
Service key: Administrada por ApsaraDB RDS, con validez permanente y creada automáticamente al seleccionar Default Service CMK en la consola. La especificación de la clave es Aliyun_AES_256. La rotación de claves está deshabilitada de forma predeterminada; para habilitarla, adquiera la función de rotación de claves en la consola de Key Management Service (KMS). Consulte Configure key rotation.
Para instancias de MariaDB 10.6, utilice la clave de servicio administrada por ApsaraDB RDS. Esta clave tiene validez permanente y elimina el riesgo de bloqueo de la instancia por eliminación accidental de la clave.
Habilitar el cifrado de disco en la nube
Al crear una instancia de RDS, configure el parámetro Storage Type, seleccione Disk Encryption y luego configure el parámetro Key. Para consultar todos los pasos de creación, revise Create an ApsaraDB RDS for MariaDB instance.
Una vez creada la instancia, consulte la clave utilizada para el cifrado de disco en la página Basic Information de la instancia.
Comprobar el cifrado
Vaya a la página Instances. En la barra de navegación superior, seleccione la región donde reside la instancia. Localice la instancia y haga clic en su ID.
En la sección Basic Information, compruebe si aparece el parámetro AccessKey Pair. Si está presente, el cifrado de disco en la nube está habilitado.
Limitaciones
El cifrado de disco en la nube no se puede deshabilitar una vez habilitado.
El cifrado de disco en la nube no interrumpe sus operaciones ni requiere cambios en la aplicación.
Si crea una nueva instancia a partir de una instantánea cifrada con discos en la nube, el cifrado de disco en la nube se habilita automáticamente para la nueva instancia.
Si su cuenta de Alibaba Cloud KMS presenta pagos pendientes, los discos en la nube no se podrán descifrar. Mantenga su cuenta de KMS al corriente. Consulte What is KMS?.
Si la clave de KMS utilizada para el cifrado se deshabilita o elimina, la instancia de RDS se bloquea y deja de ser accesible. Se bloquean las siguientes operaciones: copias de seguridad, cambios de especificación de la instancia, clonación, reinicio, failover de alta disponibilidad y modificaciones de parámetros.
Consultar claves de servicio en KMS
En la consola de KMS, vaya a Keys en el panel de navegación izquierdo y haga clic en la pestaña Default Key. Si la columna Key Usage muestra Service Key, la clave es administrada por un servicio de Alibaba Cloud. El alias de la clave de servicio administrada por ApsaraDB RDS es alias/acs/rds. Si no aparece ninguna clave, aún no se ha creado una clave de servicio en esa región; se crea automáticamente al habilitar el cifrado de disco en la nube y seleccionar Default Service CMK durante la creación de la instancia.
Referencia de API
|
Operación |
Descripción |
|
Crea una instancia |