PolarDB:列の暗号化

1. 構文 (権限制御、DDL、DML)

-- 権限を付与
GRANT ENCRYPTION_FUN_ADMIN ON *.* TO 'testman'@'%';
-- 権限を表示
SHOW GRANTS;

CREATE index idx_pan ON my_pan(pan);

-- 暗号化関数
enhanced_aes_encrypt(data, db_name, table_name)
-- 復号関数
enhanced_aes_decrypt(data)

INSERT INTO `my_pan` VALUES(1,"my_passwd", "aaa");

# 1. 列の値を復号してクエリします。これはインデックスを使用せず、フルテーブルスキャンを実行します。
SELECT id,enhanced_aes_decrypt(pan) FROM `my_pan` WHERE enhanced_aes_decrypt(pan) = 'my_password_10';
# 2. インデックスを使用したポイントクエリ。結果は平文で返されます。
SELECT id,enhanced_aes_decrypt(pan) FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_10', "mydatabase", "my_pan");
# 3. インデックスを使用したポイントクエリ。結果は暗号文で返されます。
SELECT id, pan FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_10', "mydatabase", "my_pan");

# プライマリキーインデックスを使用してデータを更新します。
UPDATE `my_pan` SET pan='new6-password', `desc`='Senior6' WHERE id = 1;
# 暗号化列のインデックスを使用してデータを更新します。
UPDATE `my_pan` SET pan='new6-password', `desc`='Senior6' WHERE pan=enhanced_aes_encrypt('my_password_6', "mydatabase", "my_pan");

# プライマリキーインデックスを使用してデータを削除します。
DELETE FROM `my_pan` WHERE id = 1;
# 暗号化列のインデックスを使用してデータを削除します。
DELETE FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_2', "mydatabase", "my_pan");

2. キー管理

1. 1. PolarDB から KMS へのアクセスを承認する

2. 2. TDE 機能を有効にします。

   重要

   • TDE を有効にすると、PolarDB クラスターが再起動します。注意して進めてください。

   • TDE は一度有効にすると無効にできません。

   • TDE 機能を有効にすること自体は、TDE で暗号化されておらず、暗号化列を含まないテーブルに追加のパフォーマンスオーバーヘッドを引き起こしません。

   1. PolarDB コンソールにログインします。 左側のナビゲーションペインで、クラスター をクリックします。 クラスターが配置されているリージョンを選択し、クラスター ID をクリックしてその詳細ページを開きます。

   2. 左側のナビゲーションペインで、設定と管理 > セキュリティ管理 をクリックします。

   3. TDE 設定 タブで、TDE ステータス スイッチをオンにし、カスタムキーを選択します。

      説明

      KMS でキーを削除する前に、そのキーが、過去のバックアップ内のテーブルを含め、どの暗号化テーブルにも関連付けられていないことを確認する必要があります。そうしないと、PolarDB クラスターの再起動に失敗する可能性があります。

      

3. キーを選択します。KMS のデフォルトキーを使用 または 既存カスタムキーの使用 を選択できます。

   [詳細] オプションでは、自動暗号化を有効にできます。有効にすると、すべての新しいテーブルが自動的に暗号化されます。

4. 4. (オプション) キーローテーションを実行します。

   説明

   • PolarDB はカスタムキーを自動的にローテーションしません。キーは手動でローテーションする必要があります。詳細については、「キーローテーション」をご参照ください。

   • キーローテーション後、新しい暗号化テーブルは新しいキーを使用します。既存の暗号化テーブルのデータは、元のキーで暗号化されたままです。

   • データローテーションでは、テーブル内のデータを復号し、最新のキーバージョンで再暗号化します。このプロセスは CPU と I/O リソースを消費します。データローテーションは必須ではありませんが、テーブルで使用されているキーの可用性を確保する必要があります。

   • データローテーション中のテーブルロック：

     • オンラインコピー DDL が無効な場合、データローテーション中にテーブルはロックされます。

     • オンラインコピー DDL が有効な場合、データローテーション中にテーブルはロックされません。同時 DML 操作は許可されますが、同時 DDL 操作は許可されません。

   既存の暗号化テーブルのデータを新しいキーで再暗号化するには、次のデータローテーションコマンドを手動で実行する必要があります：

   ALTER TABLE <table_name> engine = innodb,algorithm=copy;

5. 5. テーブルキーのクエリ。

   システム内のすべての暗号化テーブルのキー情報をクエリするには、次の SQL 文を実行します：

   SELECT * FROM information_schema.INNODB_COLUMN_ENCRYPTED_TABLE;

3. パラメーター設定

loose_polar_enable_column_encryption パラメーターを設定して、列の暗号化機能を有効にします。パラメーターの設定方法の詳細については、「クラスターパラメーターとノードパラメーターの設定」をご参照ください。次の表で、このパラメーターについて説明します。

4. (オプション) オンラインコピー DDL の有効化

データローテーション (たとえば、ストレージエンジン間でのテーブル定義の変更、列プロパティの調整、または通常テーブルとパーティションテーブル間の変換) に COPY DDL 構文を使用する場合、テーブルはデフォルトでロックされ、サービスが中断される可能性があります。これを防ぐには、オンラインコピー DDL 最適化機能を有効にして、ロックなしまたは最小限のロックでテーブル構造の変更を実行できます。詳細については、「オンラインコピー DDL」のドキュメントをご参照ください。