ApsaraDB RDS:Utiliser le chiffrement des sauvegardes

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ram:CreateServiceLinkedRole"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "backupencryption.rds.aliyuncs.com"
                }
            }
        },
        {
            "Action": [
                "kms:ListResourceTags",
                "kms:TagResource"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:kms:*:*:*"
            ]
        }
    ]
}

Prérequis

Avant de commencer, installez les outils suivants :

• Percona XtraBackup — installez la version 2,4 ou la version 8,0 pour correspondre à votre version de MySQL.

• qpress — exécutez les commandes suivantes pour l'installation :

  wget "http://docs-aliyun.cn-hangzhou.oss.aliyun-inc.com/assets/attach/183466/cn_zh/1608011575185/qpress-11-linux-x64.tar"
  tar xvf qpress-11-linux-x64.tar
  chmod 775 qpress
  cp qpress /usr/bin

• Python 3

Étape 1 : Obtenir le texte chiffré et l'algorithme de chiffrement

1. Accédez à la page Instances. Sélectionnez votre région et cliquez sur l'ID de l'instance.

2. Dans le volet de navigation de gauche, cliquez sur Backup and Restoration.

3. Cliquez sur l'onglet Base Backups, puis sur l'onglet Data Backup.

4. Dans la colonne Actions du jeu de sauvegarde, cliquez sur l'icône et sélectionnez View Encryption Information.

5. Notez les valeurs ciphertext et encryption algorithm ; vous en aurez besoin lors des étapes suivantes.

Étape 2 : Déduire le mot de passe de déchiffrement

Appelez l'API KMS Decrypt en définissant CiphertextBlob sur le texte chiffré obtenu à l'étape 1. L'API renvoie une valeur Plaintext , qui correspond à une chaîne binaire encodée en Base64.

Décodez Plaintext pour obtenir le mot de passe de déchiffrement :

1. Créez un script Python :

   vi decrypt.py

2. Appuyez sur i pour passer en mode insertion, collez le code suivant, puis appuyez sur Esc et tapez :wq pour enregistrer :

   import base64
   import binascii
   plaintext = 'S14dTbl6i4Qo**********'  # Replace with the Plaintext value from the KMS API response.
   password = binascii.b2a_hex(base64.b64decode(plaintext))   # Derive the decryption password.
   print(str(password, 'utf-8'))   # Print the password.

3. Exécutez le script :

   python decrypt.py

   Le mot de passe s'affiche à l'écran. Exemple :

   4b5e1d4db97a********************

Étape 3 : Télécharger et déchiffrer les données de sauvegarde

1. Téléchargez le fichier de sauvegarde sur votre machine locale. Pour plus de détails, consultez Restaurer les données d'une instance ApsaraDB RDS for MySQL depuis un fichier de sauvegarde physique vers une base de données MySQL auto-gérée.

2. Créez un répertoire pour stocker les données de sauvegarde :

   mkdir /home/mysql/data

3. Décompressez le package de sauvegarde. La commande dépend de l'extension du fichier :

   Type de fichier	Commande de décompression
   .tar.gz	tar -izxvf test1.tar.gz -C /home/mysql/data
   .xb.gz	`gzip -d -c test1.xb.gz	xbstream -x -v -C /home/mysql/data`
   _qp.xb	Voir les commandes ci-dessous
   _xb.qp	`qpress -do test1_xb.qp	xbstream -x -v -C /home/mysql/data`

   Pour les fichiers _qp.xb, exécutez les deux commandes suivantes dans l'ordre :

   # Extract the backup stream
   cat test1_qp.xb | xbstream -x -v -C /home/mysql/data
   
   # Decompress the extracted files
   # For MySQL 5.6 or MySQL 5.7:
   innobackupex --decompress --remove-original /home/mysql/data
   # For MySQL 8.0:
   xtrabackup --decompress --remove-original --target-dir=/home/mysql/data

   Après la décompression, tous les fichiers de données portent le suffixe .xbcrypt , indiquant qu'ils sont chiffrés.

   

4. Déchiffrez les données de sauvegarde :

   xtrabackup --decompress --remove-original --decrypt=AES256 --encrypt-key=4b5e1d4db97a******************** --target-dir=/home/mysql/data

   Remplacez les valeurs des paramètres par les vôtres :

   Paramètre	description
   --decrypt	L'algorithme de chiffrement obtenu à l'étape 1. Dans cet exemple : AES256.
   --encrypt-key	Le mot de passe déduit à l'étape 2.
   --target-dir	Le répertoire où sont stockés les fichiers de sauvegarde.

   Une fois la commande terminée, le suffixe .xbcrypt disparaît et les fichiers sont déchiffrés.