PolarDB:PolarDB クラスタの TDE を構成する

注意事項

• I/O バウンドのシナリオでは、TDE はデータベースのパフォーマンスに悪影響を与える可能性があります。

• Alibaba Cloud によって自動的に作成されたサービスキーを使用する場合、追加料金は発生しません。

• KMS によって作成されたカスタムキーを使用する場合、関連費用が発生する可能性があります。 KMS の課金方法の詳細については、「課金」をご参照ください。

• TDE は、グローバルデータベースネットワーク（GDN）に参加しているクラスタで有効にすることができます。 GDN 内のプライマリクラスターで TDE が有効になると、デフォルトで GDN 内のセカンダリクラスターで TDE が有効になります。セカンダリクラスターによって使用されるキーとキーが存在するリージョンは、プライマリクラスターと同じである必要があります。キーのリージョンは変更できません。

• GDN 内のセカンダリクラスターでは、TDE を有効にすることはできません。

• MySQL 8.0.2 を実行する Standard Edition または Enterprise Edition サーバーレスクラスターでは、TDE を有効にすることはできません。

手順

1. PolarDB コンソール にログインします。

2. 左上隅で、クラスタがデプロイされているリージョンを選択します。

3. クラスタを見つけて、その ID をクリックします。

4. 左側のナビゲーションウィンドウで、[設定と管理] > [セキュリティ管理] を選択します。

5. [TDE 設定] タブで、[TDE ステータス] をオンにします。

   

6. [TDE の構成] ダイアログボックスで、[KMS のデフォルトキーを使用する] または 既存のカスタムキーを使用する を選択します。

   

   説明

   TDE は、次のキーをサポートしています。 Aliyun_AES_256 および Aliyun_SM4。

   • 表示されるダイアログボックスで、KMS のデフォルトキーを使用する を選択し、[OK] をクリックします。

   • 既存のカスタムキーを使用する を選択した場合は、ドロップダウンリストから KMS によって生成されたキーを選択し、[OK] をクリックします。

     説明

     • カスタムキーがある場合は、次の要件が満たされていることを確認してください。

       • Key Management Service（KMS）がアクティブ化されています。 詳細については、「KMS をアクティブ化する」をご参照ください。

       • PolarDB クラスタには、KMS にアクセスする権限が付与されています。 詳細については、「PolarDB クラスタに KMS へのアクセスを許可する」をご参照ください。

       • Alibaba Cloud アカウント、または AliyunSTSAssumeRoleAccess 権限を持つアカウントを使用する必要があります。

     • カスタムキーがない場合は、[KMS コンソールに移動] をクリックする必要があります。 KMS コンソールで、キーを作成し、独自のキーマテリアルをインポートできます。 詳細については、「CMK を作成する」をご参照ください。

     • カスタムポリシーコンソールで、または API オペレーションを呼び出すことによって、RAM ユーザーがクラスタを作成するときに TDE を有効にすることを要求するために を構成できます。

     • TDE に既存のカスタムキーを使用する場合は、次の情報に注意してください。

       • キーを無効にするか、キーを削除する計画を構成するか、またはキーマテリアルを削除すると、キーは使用できなくなります。

       • PolarDB for MySQL クラスタへの認証を取り消すと、クラスタの再起動後にクラスタが使用できなくなります。

   TDE を有効にするには、約 10 分かかります。

詳細設定

テーブルの暗号化と復号

alter table <tablename> block_format=encrypted;

alter table <tablename> encryption= 'Y';

alter table <tablename> block_format=default;

alter table <tablename> encryption= 'N';