Le chiffrement des disques cloud protège les données de vos instances ApsaraDB RDS for MariaDB en chiffrant chaque disque de données au niveau du stockage par blocs. Même en cas de fuite des données de sauvegarde, leur déchiffrement reste impossible sans la clé correspondante. Les snapshots créés pour une instance chiffrée sont automatiquement chiffrés et aucune modification applicative n'est nécessaire.
Cette fonctionnalité est gratuite. Les opérations de lecture et d'écriture sur les disques chiffrés n'engendrent aucun coût supplémentaire.
Prérequis
Avant de commencer, assurez-vous de disposer des éléments suivants :
Une instance RDS en cours de création — vous ne pouvez pas activer le chiffrement des disques cloud après la création d'une instance
Une instance créée en mode standard
Une clé créée en fonction de la version MariaDB de l'instance — consultez Créer une CMK
Choisir un type de clé
Le type de clé disponible dépend de la version de MariaDB et du type d'instance.
| Version de MariaDB | Type d'instance | Types de clés pris en charge |
|---|---|---|
| 10,3 | Tous | Clé maître client (CMK) uniquement |
| 10,6 | Généraliste | Clé de service gérée par ApsaraDB RDS uniquement |
| 10,6 | Dédiée | Clé de service gérée par ApsaraDB RDS ou CMK |
Service key : gérée par ApsaraDB RDS, valide en permanence et créée automatiquement lorsque vous sélectionnez Default Service CMK dans la console. La spécification de la clé est Aliyun_AES_256. La rotation des clés est désactivée par défaut ; pour l'activer, souscrivez à la fonctionnalité de rotation des clés dans la console Key Management Service (KMS). Consultez Configurer la rotation des clés.
Pour les instances MariaDB 10,6, utilisez la clé de service gérée par ApsaraDB RDS. Elle est valide en permanence et élimine le risque de verrouillage de l'instance dû à une suppression accidentelle de la clé.
Activer le chiffrement des disques cloud
Lors de la création d'une instance RDS, configurez le paramètre Storage Type, sélectionnez Disk Encryption puis configurez le paramètre Key. Pour connaître la procédure complète de création, consultez Créer une instance ApsaraDB RDS for MariaDB.
Une fois l'instance créée, consultez la clé utilisée pour le chiffrement des disques sur la page Basic Information de l'instance.
Vérifier le chiffrement
Accédez à la page Instances. Dans la barre de navigation supérieure, sélectionnez la région où réside l'instance. Localisez l'instance et cliquez sur son ID.
Dans la section Basic Information , vérifiez si le paramètre AccessKey Pair apparaît. Si c'est le cas, le chiffrement des disques cloud est activé.
Limites
Vous ne pouvez pas désactiver le chiffrement des disques cloud une fois celui-ci activé.
Le chiffrement des disques cloud n'interrompt pas votre activité et aucune modification applicative n'est nécessaire.
Si vous créez une nouvelle instance à partir d'un snapshot chiffré utilisant des disques cloud, le chiffrement des disques cloud est automatiquement activé pour la nouvelle instance.
Si votre compte Alibaba Cloud KMS présente des impayés, les disques cloud ne peuvent pas être déchiffrés. Maintenez votre compte KMS en règle. Consultez Qu'est-ce que KMS ?
Si la clé KMS utilisée pour le chiffrement est désactivée ou supprimée, l'instance RDS est verrouillée et devient inaccessible. Les opérations suivantes sont bloquées : sauvegardes, modifications des spécifications de l'instance, clonage, redémarrage, basculement de haute disponibilité et modifications des paramètres.
Afficher les clés de service dans KMS
Dans la console KMS, accédez à Keys dans le volet de navigation de gauche et cliquez sur l'onglet Default Key. Si la colonne Key Usage indique Service Key, la clé est gérée par un service Alibaba Cloud. L'alias de la clé de service gérée par ApsaraDB RDS est alias/acs/rds. Si aucune clé n'est répertoriée, aucune clé de service n'a encore été créée dans cette région ; elle est créée automatiquement lorsque vous activez le chiffrement des disques cloud et sélectionnez Default Service CMK lors de la création de l'instance.
Référence API
| Opération | Description |
|---|---|
| CreateDBInstance | Crée une instance |