Enkripsi disk melindungi seluruh data pada disk data RDS untuk SQL Server Anda menggunakan enkripsi tingkat penyimpanan blok. Fitur ini gratis, tidak memerlukan perubahan pada aplikasi, dan dapat diaktifkan saat membuat instans atau pada instans yang sudah ada.
Konfigurasi yang didukung
Tidak semua tipe instans mendukung enkripsi disk secara identik. Tabel berikut menunjukkan dukungan untuk masing-masing tipe.
| Tipe instans | Aktifkan pada instans baru | Aktifkan pada instans yang sudah ada | Jenis kunci yang didukung |
|---|---|---|---|
| Dedicated | Ya | Ya | Kunci layanan atau kunci kustom |
| General-purpose | Ya | Ya | Kunci layanan atau kunci kustom |
| Shared | Ya | Tidak | Hanya kunci layanan (Default Service CMK) |
| Read-only | Tidak (mewarisi dari primary) | Tidak | — |
| Serverless | Tidak | Tidak | — |
Batasan tambahan:
-
Tipe penyimpanan harus berupa ESSD.
-
Jika instans primer memiliki instans hanya baca yang terhubung, lepaskan instans tersebut sebelum mengaktifkan enkripsi disk. Setelah enkripsi diaktifkan, instans hanya baca baru akan mewarisinya secara otomatis.
-
Enkripsi disk tidak dapat dinonaktifkan setelah diaktifkan.
-
Setelah mengaktifkan enkripsi disk, Anda tidak dapat memperbarui versi mesin minor.
Penagihan
Enkripsi disk gratis, termasuk seluruh operasi baca dan tulis pada disk terenkripsi.
Kunci dikelola oleh Key Management Service (KMS):
| Jenis kunci | Biaya |
|---|---|
| Default Service CMK dan master key | Gratis |
| Kunci yang dilindungi perangkat lunak dan kunci yang dilindungi perangkat keras | Ditagih oleh KMS |
Manajemen kunci
Pemutusan sementara
Mengaktifkan enkripsi disk pada instans yang sudah ada atau mengganti kunci enkripsi menyebabkan gangguan singkat:
| Edisi | Downtime |
|---|---|
| Edisi Ketersediaan Tinggi / Edisi Kluster | ~30 detik |
| Edisi Dasar | ~5 menit |
Jadwalkan operasi ini selama jam sepi dan pastikan aplikasi Anda memiliki mekanisme penghubungan ulang otomatis.
Ketersediaan kunci
Ketersediaan instans Anda bergantung pada akses berkelanjutan ke kunci enkripsinya. Dua situasi berikut dapat menyebabkan instans tidak dapat diakses:
-
Pembayaran tertunda KMS: Jika Anda menggunakan jenis kunci berbayar (kunci yang dilindungi perangkat lunak atau kunci yang dilindungi perangkat keras), pembayaran tertunda mencegah disk didekripsi, sehingga seluruh instans menjadi tidak tersedia. Pastikan akun KMS Anda tetap aktif.
-
Kunci dinonaktifkan atau dihapus: Menonaktifkan atau menghapus master key, kunci yang dilindungi perangkat lunak, atau kunci yang dilindungi perangkat keras akan langsung mengunci instans RDS. Semua aktivitas operasi dan maintenance (O&M)—seperti backup, perubahan konfigurasi, restart, dan alih bencana ketersediaan tinggi (HA)—akan gagal hingga kunci dipulihkan.
Kunci layanan default (Default Service CMK)
Kunci layanan yang dikelola RDS menggunakan spesifikasi Aliyun_AES_256. Rotasi kunci dinonaktifkan secara default. Untuk mengaktifkan rotasi kunci, beli layanan rotasi kunci dari Konsol KMS.
Aktifkan enkripsi disk untuk instans baru
-
Saat Anda membuat instans ApsaraDB RDS untuk SQL Server, atur tipe penyimpanan menjadi ESSD.
-
Pilih Cloud Disk Encryption, lalu pilih kunci target.
Pilih Cloud Disk Encryption sebelum memilih tipe instans. Untuk instans shared, atur kunci ke Default Service CMK—instans shared hanya mendukung kunci layanan. Untuk membuat kunci kustom, lihat Buat dan aktifkan kunci.
Aktifkan enkripsi disk untuk instans yang sudah ada
Operasi ini menyebabkan pemutusan sementara. Instans tidak tersedia selama ~30 detik (Edisi Ketersediaan Tinggi atau Edisi Kluster) atau ~5 menit (Edisi Dasar). Jadwalkan operasi ini selama jam sepi dan pastikan aplikasi Anda melakukan penghubungan ulang secara otomatis.
-
Buka halaman Instances. Di bilah navigasi atas, pilih wilayah instans Anda, lalu klik ID instans.
-
Di panel navigasi kiri, klik Data Security.
-
Di tab Data Encryption, klik Enable Encryption.
-
Di kotak dialog, pilih kunci yang diinginkan dan klik OK. Status instans berubah menjadi Configuration Changing.
-
Enkripsi aktif ketika status instans kembali ke Running dan detail enkripsi muncul di tab Data Encryption.
Lihat status enkripsi disk dan detail kunci
-
Buka halaman Instances. Pilih wilayah, lalu klik ID instans.
-
Di halaman Basic Information, periksa kunci enkripsi disk.
Jika tidak ada kunci yang ditampilkan, berarti enkripsi disk belum diaktifkan. Untuk melihat semua kunci di akun Anda, buka Konsol KMS. Di tab Keys > Default Keys, nilai Key Usage sebesar Service Key berarti kunci tersebut dikelola oleh Alibaba Cloud.
Ganti kunci enkripsi
Instans Dedicated dan General-purpose mendukung pergantian kunci. Instans Shared tidak dapat mengganti kunci karena hanya mendukung kunci layanan.
Mengganti kunci menyebabkan pemutusan sementara (~30 detik untuk Edisi Ketersediaan Tinggi atau Edisi Kluster; ~5 menit untuk Edisi Dasar). Jadwalkan operasi ini selama jam sepi.
-
Buka halaman Instances. Pilih wilayah, lalu klik ID instans.
-
Di panel navigasi kiri, klik Data Security.
-
Di tab Data Encryption, klik Replace Key.
-
Di kotak dialog Change Encryption Key of Data Disk, pilih kunci baru dan klik OK.
Referensi API
| Operasi | API |
|---|---|
| Aktifkan enkripsi disk saat membuat instans | CreateDBInstance |
| Aktifkan enkripsi disk untuk instans yang sudah ada | ModifyDBInstanceConfig |
| Kueri status enkripsi disk | DescribeDBInstanceEncryptionKey |