PolarDB:透過的なデータ暗号化 (TDE) の設定

TDE の仕組み

TDE は、キー長 256 ビットの Advanced Encryption Standard (AES) アルゴリズムを使用します。暗号化と復号は I/O レベルで行われ、データベースエンジンが両方の操作を透過的に処理します。

キー管理は、Alibaba Cloud Key Management Service (KMS) を通じて行われます。TDE を有効にする前に、2 種類のキーから選択します。

適用範囲

開始する前に、以下を確認してください。

• クラスターが最小マイナーエンジンバージョンを満たしていること。

  MySQL 8.0.2 を実行しているサーバーレスクラスターでは TDE を有効にできません。

  製品シリーズ	データベースエンジン	最小マイナーエンジンバージョン
  Cluster Edition	MySQL 5.6	5.6.1.0.21
  	MySQL 5.7	5.7.1.0.3
  	MySQL 8.0.1, MySQL 8.0.2	8.0.1.1.1
  Standard Edition	MySQL 5.7	5.7.1.0.3
  	MySQL 8.0.1, MySQL 8.0.2	8.0.1.1.1
  Multi-master Cluster (Limitless)	MySQL 8.0.1	8.0.1.0.42
  	MySQL 8.0.2	8.0.2.0.6

• カスタムキーを使用する予定がある場合は、以下も必要です。

  • アクティブな Alibaba Cloud KMS インスタンス

  • PolarDB に KMS へのアクセスが認可されていること (PolarDB に KMS へのアクセスを認可)

  • AliyunSTSAssumeRoleAccess 権限を持つ Alibaba Cloud アカウントまたは Resource Access Management (RAM) ユーザー

課金

制限事項

TDE を有効にする前に、以下の制限事項を確認してください。

• 不可逆性： TDE は一度有効にすると無効にできません。

• クラスターの再起動が必要： TDE を有効にするとクラスターが再起動され、短時間 (約 10 分) サービスが中断されます。この操作はオフピーク時間にスケジュールしてください。

• パフォーマンスへの影響： I/O 集中型のシナリオでは、暗号化と復号によって少量の CPU リソースが消費され、データベースのパフォーマンスにわずかに影響する場合があります。

• サーバーレスの制限： MySQL 8.0.2 を実行しているサーバーレスクラスターでは TDE を有効にできません。

• カスタムキーのリスク： カスタムキーが利用できなくなった場合、次回の再起動時にクラスターも利用できなくなります。詳細については、「カスタムキーのリスク」をご参照ください。

• グローバルデータベースネットワーク (GDN)： プライマリクラスターで TDE を有効にすると、すべてのセカンダリクラスターでも自動的に有効になります。GDN 内のすべてのクラスターは同じキーを共有し、そのキーはプライマリクラスターのリージョンに存在します。セカンダリクラスターで個別に TDE を有効にすることはできず、キーのリージョンも変更できません。

TDE の有効化

1. PolarDB コンソールにログインします。左側のナビゲーションペインで、[設定と管理] > [セキュリティ] をクリックします。[TDE 設定] タブで、[TDE ステータス] スイッチをオンにします。

   

2. ダイアログボックスで、キーの種類を選択します。

   • [サービスキー (Alibaba Cloud によって自動生成)]： [OK] をクリックします。追加の設定は不要です。

   • [既存のカスタムキーを使用]： ドロップダウンリストからキーを選択し、[OK] をクリックします。キーがリストにない場合は、まずKMS でキーを作成してください。

   TDE 用に KMS キーを作成する際は、暗号化アルゴリズムとして Aliyun_AES_256 または Aliyun_SM4 のいずれかを選択してください。TDE はこの 2 つのアルゴリズムのみをサポートしています。

   

3. TDE の有効化が完了するまで待ちます。このプロセスには約 10 分かかり、クラスターが再起動されます。

既存テーブルの暗号化

TDE を有効にしても、既存のテーブルは自動的に暗号化されません。ALTER TABLE を実行して手動で暗号化します。

ALTER TABLE の実行中、テーブルはロックされ、読み書きができなくなります。

暗号化ステータスの確認

SHOW CREATE TABLE <table_name>; を実行すると、テーブルが暗号化されているかどうかを確認できます。

• MySQL 5.7, MySQL 8.0： 出力に ENCRYPTION='Y' が含まれている場合、テーブルは暗号化されています。

• MySQL 5.6： 出力に BLOCK_FORMAT=ENCRYPTED が含まれている場合、テーブルは暗号化されています。

カスタムキーのリスク

カスタムキーを使用する場合、キーの可用性がクラスターの可用性を直接決定します。以下のいずれかが発生した場合、クラスターは利用できなくなります。

• KMS でキーが無効化された場合

• KMS でキーの削除がスケジュールされた場合

• KMS でキーマテリアルが削除された場合

• PolarDB の KMS へのアクセス認可が取り消された場合

よくある質問

TDE を有効にするとビジネスにどのような影響がありますか。

TDE を有効にするとクラスターが再起動され、短時間サービスが中断されます。この操作はオフピーク時間にスケジュールしてください。I/O 集中型のワークロードでは、暗号化と復号の操作により、わずかなパフォーマンスオーバーヘッドが発生する可能性があります。

TDE はどのようなセキュリティ問題を解決しますか。

TDE は、ディスクに保管されているデータを保護します。これにより、例えば物理メディアが持ち出されたり、データベースエンジン外からストレージファイルにアクセスされたりした場合に、権限のないユーザーがデータベースファイルを直接読み取ることを防ぎます。この保護はアプリケーションにとって完全に透過的です。

RAM ユーザーがクラスターを作成する際に TDE の有効化を必須にすることはできますか。

はい。RAM ユーザーがコンソールまたは API 経由でクラスターを作成する際に TDE の有効化を強制するように、RAM ポリシーを設定できます。

次のステップ

• データベース暗号化技術の比較

• Key Management Service (KMS) とは

• PolarDB に KMS へのアクセスを認可

• KMS キーの作成

関連 API