La función de base de datos always-confidential cifra columnas específicas en su instancia de ApsaraDB RDS for MySQL, como números de tarjetas de crédito y de identificación nacional. Así, los operadores de la plataforma en la nube y otros usuarios con altos privilegios no pueden leer los valores en texto plano. Las columnas cifradas permanecen invisibles para los usuarios de la base de datos hasta que se descifran mediante un cliente autorizado.
Requisitos previos
Antes de empezar, asegúrese de contar con lo siguiente:
Una instancia de ApsaraDB RDS for MySQL que ejecute MySQL 5.7 o MySQL 8.0 con una versión menor del motor 20240731 o posterior. Para actualizar, consulte Update the minor engine version.
Una cuenta con privilegios en la instancia. Todas las operaciones de esta guía requieren una cuenta con privilegios.
Facturación
Esta función es gratuita.
Limitaciones
Reinicio obligatorio de la instancia: Al habilitar la función, se reinicia la instancia de RDS. Programe esta acción fuera del horario de mayor actividad.
Impacto en el rendimiento: Habilitar la función tiene un impacto menor en el rendimiento de la instancia. Configurar reglas de protección de datos y operar sobre columnas cifradas puede reducir aún más el rendimiento.
Integración obligatoria de controladores para cargas de escritura: Si su aplicación lee y escribe datos, integre los controladores de Alibaba Cloud antes de escribir en columnas cifradas. Sin los controladores, los datos cifrados se escriben en la base de datos tal cual y quedan inoperables.
Configure primero las reglas de protección de datos: La función cifra las columnas según las reglas de protección de datos. Configure las reglas antes de habilitarla para evitar que la función esté activa sin columnas protegidas. Para obtener más información, consulte Manage data protection rules.
Habilite TDE para proteger el disco (recomendado): El cifrado transparente de datos (TDE) protege los datos en reposo en el disco y complementa el cifrado a nivel de columna. Para obtener más información, consulte Configurar TDE.
Habilite la función de base de datos always-confidential
Si no dispone de una instancia elegible, cree una. Consulte Create an ApsaraDB RDS for MySQL instance para ver los pasos de creación, y Tipos de instancia para instancias primarias estándar de ApsaraDB RDS for MySQL (arquitectura x86 original) o Tipos de instancia para instancias primarias YiTian de ApsaraDB RDS for MySQL (arquitectura ARM original) para conocer los tipos de instancia compatibles. Omita este paso si su instancia ya cumple con los requisitos previos.
Cree una cuenta con privilegios. Consulte Crear una cuenta en una instancia de ApsaraDB RDS for MySQL.
Cree una base de datos. Consulte Manage databases.
Inicie sesión en la consola de ApsaraDB RDS. En la página Instances, seleccione la región donde reside su instancia y haga clic en el ID de la instancia.
-
Habilite la función. En el panel de navegación izquierdo, haga clic en Parameters. En la pestaña Modifiable Parameters, establezca
loose_encdben ON. En la esquina superior derecha, haga clic en Apply Changes, seleccione la hora de efectividad y luego haga clic en OK.AvisoEste paso reinicia su instancia de RDS. Ejecútelo fuera del horario de mayor actividad para minimizar el impacto.
Pasos siguientes
Una vez habilitada la función, configure las reglas de protección de datos para especificar qué columnas cifrar. Consulte Gestionar reglas de protección de datos.
Para obtener una descripción general de la función de base de datos always-confidential, consulte Overview y Benefits. Para proteger los datos en reposo en el disco además del cifrado a nivel de columna, consulte Configurar TDE.