El cifrado de disco protege todos los datos del disco de datos de su instancia RDS for SQL Server mediante cifrado a nivel de block storage. Esta función es gratuita, no requiere cambios en la aplicación y se puede habilitar al crear una instancia o en una instancia existente.
Configuraciones compatibles
No todos los tipos de instancia admiten el cifrado de disco de la misma manera. La siguiente tabla muestra las funcionalidades compatibles con cada tipo.
|
Tipo de instancia |
Habilitar en nueva instancia |
Habilitar en instancia existente |
Tipos de clave compatibles |
|
Dedicated |
Sí |
Sí |
Clave de servicio o clave personalizada |
|
General-purpose |
Sí |
Sí |
Clave de servicio o clave personalizada |
|
Shared |
Sí |
No |
Solo clave de servicio (Default Service CMK) |
|
Read-only |
No (se hereda de la principal) |
No |
— |
|
Serverless |
No |
No |
— |
Restricciones adicionales:
El tipo de almacenamiento debe ser ESSD.
Si la instancia principal tiene instancias de solo lectura asociadas, libérelas antes de habilitar el cifrado de disco. Una vez habilitado el cifrado, las nuevas instancias de solo lectura lo heredan automáticamente.
El cifrado de disco no se puede deshabilitar una vez habilitado.
Después de habilitar el cifrado de disco, no puede update the minor engine version.
Facturación
El cifrado de disco es gratuito, incluidas todas las operaciones de lectura y escritura en discos cifrados.
Las claves se gestionan mediante Key Management Service (KMS):
|
Tipo de clave |
Costo |
|
Default Service CMK y claves maestras |
Gratis |
|
Claves protegidas por software y claves protegidas por hardware |
Gestión de claves
Desconexión transitoria
Habilitar el cifrado de disco en una instancia existente o cambiar la clave de cifrado provoca una breve interrupción:
|
Edición |
Tiempo de inactividad |
|
High-availability Edition / Cluster Edition |
~30 segundos |
|
Basic Edition |
~5 minutos |
Programe estas operaciones fuera del horario pico y asegúrese de que su aplicación cuente con un mecanismo de reconexión automática.
Disponibilidad de la clave
La disponibilidad de su instancia depende del acceso continuo a su clave de cifrado. Dos situaciones pueden hacer que la instancia sea inaccesible:
Pagos vencidos de KMS: Si utiliza un tipo de clave de pago (protegida por software o por hardware), un pago vencido impide que el disco se descifre, lo que deja a toda la instancia no disponible. Mantenga su cuenta de KMS al corriente.
Clave deshabilitada o eliminada: Deshabilitar o eliminar una clave maestra, una clave protegida por software o una clave protegida por hardware bloquea inmediatamente la instancia RDS. Todas las actividades de operación y mantenimiento (O&M) —copias de seguridad, cambios de configuración, reinicios y conmutaciones por error de alta disponibilidad (HA)— fallarán hasta que se restaure la clave.
Clave de servicio predeterminada (Default Service CMK)
La clave de servicio gestionada por RDS utiliza la especificación Aliyun_AES_256. La rotación de claves está deshabilitada de forma predeterminada. Para habilitar la rotación de claves, adquiera key rotation service desde la consola de KMS.
Habilitar el cifrado de disco para una nueva instancia
Cuando realice create an ApsaraDB RDS for SQL Server instance, establezca el tipo de almacenamiento en ESSD.
Seleccione Cloud Disk Encryption y luego seleccione la clave deseada.
Seleccione Cloud Disk Encryption antes de seleccionar el tipo de instancia. Para instancias compartidas, establezca la clave en Default Service CMK , ya que las instancias compartidas solo admiten claves de servicio. Para crear una clave personalizada, consulte Create and enable a key .
Habilitar el cifrado de disco para una instancia existente
Esta operación causa una desconexión transitoria. La instancia no estará disponible durante aproximadamente 30 segundos (High-availability Edition o Cluster Edition) o 5 minutos (Basic Edition). Programe esta acción fuera del horario pico y asegúrese de que su aplicación se reconecte automáticamente.
Vaya a la página Instances. En la barra de navegación superior, seleccione la región de su instancia y luego haga clic en el ID de la instancia.
En el panel de navegación izquierdo, haga clic en Data Security.
En la pestaña Data Encryption, haga clic en Enable Encryption.
En el cuadro de diálogo, seleccione la clave deseada y haga clic en OK. El estado de la instancia cambiará a Configuration Changing.
El cifrado está activo cuando el estado de la instancia vuelve a Running y los detalles del cifrado aparecen en la pestaña Data Encryption.
Consultar el estado del cifrado de disco y los detalles de la clave
Vaya a la página Instances. Seleccione la región y luego haga clic en el ID de la instancia.
En la página Basic Information, compruebe la clave de cifrado de disco.
Si no aparece ninguna clave, el cifrado de disco no está habilitado. Para ver todas las claves bajo su cuenta, abra la consola de KMS. En la pestaña Keys > Default Keys , un valor de Key Usage igual a Service Key indica que la clave es gestionada por Alibaba Cloud.
Cambiar la clave de cifrado
Las instancias dedicadas y de uso general admiten cambios de clave. Las instancias compartidas no pueden cambiar claves porque solo admiten claves de servicio.
Cambiar la clave provoca una desconexión transitoria (~30 segundos para High-availability Edition o Cluster Edition; ~5 minutos para Basic Edition). Programe esta acción fuera del horario pico.
Vaya a la página Instances. Seleccione la región y luego haga clic en el ID de la instancia.
En el panel de navegación izquierdo, haga clic en Data Security.
En la pestaña Data Encryption, haga clic en Replace Key.
En el cuadro de diálogo Change Encryption Key of Data Disk, seleccione la nueva clave y haga clic en OK.
Referencia de API
|
Operación |
API |
|
Habilitar el cifrado de disco al crear una instancia |
|
|
Habilitar el cifrado de disco para una instancia existente |
|
|
Consultar el estado del cifrado de disco |