ApsaraDB RDS for MySQL (RDS) の常時暗号化データベース機能は、機密コンピューティングを使用し、データ保護規制に準拠しながら、機密データをライフサイクル全体にわたって暗号化します。クラウドプラットフォームプロバイダー、権限のないユーザー、DBA、開発者、運用保守担当者はプレーンテキストデータにアクセスできません。暗号化アプローチの比較については、データベース暗号化技術の比較をご参照ください。
仕組み
常時暗号化データベースは、暗号化されたデータに対するトランザクション、クエリ、分析を含むすべてのデータベース操作をサポートします。データは、アプリケーションやデータベースなどのセキュアエンクレーブ内で処理されます。エンクレーブの外部では、データは 暗号文のまま保持 されます。クエリ結果は、返される前に暗号化されます。
このアプローチは、外部と内部の両方の脅威から防御します。データをライフサイクル全体にわたって保護し、クラウドデータのプライバシーを保護します。
クラウド上でのデータ漏洩の防止
常時暗号化データベースは、クエリ結果内の保護されたデータを暗号化します。アカウント認証情報が漏洩した場合でも、データは機密性を保ちます。
常時暗号化データベースを次のいずれかのディスク暗号化機能と組み合わせて、多層暗号化を実現してください。
クラウドディスク暗号化 (推奨)。詳細については、クラウドディスク暗号化機能の使用をご参照ください。
透過的データ暗号化 (TDE)。詳細については、TDE の設定をご参照ください。
クラウドディスク暗号化と TDE は、どちらもディスク暗号化機能を提供します。ビジネス要件に基づいて、常時暗号化データベースと組み合わせてください。
ユースケース
常時暗号化データベースは、アーキテクチャレベルでデータの機密性を保護するネイティブなセキュリティ機能を提供します。データベースシステムの高い安定性、高いパフォーマンス、コスト効率を確保します。
プラットフォーム運用保守
サードパーティプラットフォームなどの信頼できない環境でデータベースサービスを保護します。データ所有者は通常、アプリケーションサービスプロバイダーであり、データベースサービスプロバイダーとその運用保守担当者によるアプリケーションデータへのアクセスを防ぎながら、データベースを正常に稼働させたいと考えています。
例：
データベースがクラウドに移行されます。常時暗号化データベースは、権限のないクラウドプラットフォームプロバイダーと運用保守担当者によるデータへのアクセスを防ぎます。
データベースシステムが、アプリケーション接続のためにデータセンター内のサーバーにデプロイされます。常時暗号化データベースは、権限のない運用保守担当者によるデータへのアクセスを防ぎます。
保護されたデータのコンプライアンス
サードパーティプラットフォームなどの信頼できない環境でアプリケーションサービスを保護します。ユーザー向けアプリケーションでは、健康データや金融データなどの特定のデータはユーザーが所有しています。ユーザーは、アプリケーションサービスがプレーンテキストのプライベートデータにアクセスすることなく、データ管理および処理機能を提供することを望んでいます。
例：
企業がサードパーティサービスを使用して商業データを管理します。常時暗号化データベースは、企業秘密がサードパーティサービスプロバイダーに公開されることを防ぎます。
サードパーティサービスプロバイダーが、個人識別用情報 (PII) や遺伝子情報などの機密データを管理します。常時暗号化データベースは、エンドツーエンド暗号化のコンプライアンス要件を満たすのに役立ちます。
セキュリティレベル
RDS は、次のレベルでセキュリティ脅威を防止します (保護レベルの昇順)。
セキュリティレベル | 保護 | 信頼要件 | 分離方法 | 提供状況 |
クラウド上の通常のデータベース | Alibaba Cloud セキュリティサービスと併用することで、ほとんどの外部攻撃をブロック | オペレーティングシステム、データベースソフトウェア、サービスとしてのインフラストラクチャ (IaaS) 運用保守担当者、およびデータベースユーザー | Alibaba Cloud セキュリティサービス | 提供中 |
常時暗号化データベース (Basic Edition) 推奨 | DBA を含むすべてのデータベースユーザーに対してデータは利用可能ですが、表示されません。常時暗号化アクセス制御モジュールと連携して、データベースユーザーによるデータ操作を制限します。 | オペレーティングシステム、データベースソフトウェア、および IaaS 運用保守担当者 | 常時暗号化アクセス制御モジュール | すべてのインスタンスタイプで正式リリース済み |
常時暗号化データベース (Hardware-Enhanced Edition) | TEE 技術を使用して、常時暗号化データベース (Basic Edition) を使用する RDS インスタンスを TEE 環境で実行し、すべての外部セキュリティ脅威を分離します。 | オペレーティングシステムとデータベースソフトウェア | TEE 技術：Intel SGX、Intel TDX、ARM TrustZone、AMD SEV、Hygon CSV、およびコンフィデンシャルコンテナ | 正式リリースされていません。TDX ベースのエディションの予備開発は完了しています。 |
すべてのセキュリティレベルは、完全準同型暗号 (FHE) や特性保持暗号を含む、一貫した機能と高度な暗号化機能を共有しています。常時暗号化データベース (Basic Edition) は、すべてのインスタンスタイプで正式リリースされています。常時暗号化データベース (Hardware-Enhanced Edition) はまだ正式リリースされていません。Intel TDX ベースの常時暗号化データベース (Hardware-Enhanced Edition) は予備開発が完了しています。詳細については、トライアルを申し込むをご参照ください。ディスク暗号化については、透過的データ暗号化 (TDE) をご参照ください。