ApsaraDB RDS for MySQL の常時機密データベース機能は、機密コンピューティングを活用して、データのライフサイクル全体にわたって機密性の高いデータを暗号化し、データ保護に関する規制要件を満たします。クラウドプラットフォーム事業者、不正なユーザー、DBA、開発者、O&M 担当者によるプレーンテキスト形式のデータへのアクセスは一切許可されません。暗号化手法の比較については、「データベース暗号化技術の比較」をご参照ください。
仕組み
常時機密データベースは、トランザクション、クエリ、分析など、暗号化されたデータに対するすべてのデータベース操作をサポートします。データはアプリケーションおよびデータベースを含むセキュアエンクレーブ内部で処理されます。エンクレーブ外部では、データは常に暗号文のまま保持されます。クエリ結果は返却前に暗号化されます。
このアプローチにより、外部および内部の両方の脅威に対応できます。データのライフサイクル全体にわたり保護を提供し、クラウド上のデータを非公開の状態に保ちます。
クラウド上でのデータ漏洩防止
常時機密データベースは、クエリ結果に含まれる保護対象データを暗号化します。アカウントの認証情報が漏洩した場合でも、データの機密性は維持されます。
マルチレイヤー暗号化を実現するため、以下のディスク暗号化機能のいずれかと常時機密データベースを併用してください。
-
クラウドディスク暗号化（推奨）。詳細については、「クラウドディスク暗号化機能の使用方法」をご参照ください。
-
透過的データ暗号化（TDE）。詳細については、「TDE の設定」をご参照ください。
クラウドディスク暗号化および TDE は、ともにディスクレベルの暗号化機能を提供します。業務要件に応じて、常時機密データベースとの併用を検討してください。
適用範囲/利用シーン
常時機密データベースは、アーキテクチャレベルでデータの機密性を保護するためのネイティブなセキュリティ機能を提供します。データベースシステムの高安定性、高性能、およびコスト効率を確保します。
プラットフォーム O&M
第三者プラットフォーム上の信頼できる実行環境（TEE）でデータベースサービスを保護します。データ所有者は通常、アプリケーションサービスプロバイダーであり、不正なデータベースサービスプロバイダーや O&M 担当者によるアプリケーションデータへのアクセスを防止したいと考えています。
例：
-
データベースをクラウドへ移行する場合、常時機密データベースにより、不正なクラウドプラットフォーム事業者および O&M 担当者によるデータへのアクセスを防止できます。
-
データセンター内のサーバーにデータベースシステムを展開し、アプリケーションから接続する場合、常時機密データベースにより、不正な O&M 担当者によるデータへのアクセスを防止できます。
保護対象データのコンプライアンス対応
第三者プラットフォーム上の信頼できる実行環境（TEE）でユーザーのデータを保護します。ユーザー向けアプリケーションにおいて、健康情報や金融情報などの特定のデータはユーザーが所有します。ユーザーは、アプリケーションサービスに対して、プレーンテキスト形式の個人データにアクセスすることなく、データ管理および分析機能を提供することを求めています。
例：
-
企業が第三者サービスを利用して商用データを管理する場合、常時機密データベースにより、営業秘密が第三者サービスプロバイダーに漏洩することを防止できます。
-
第三者サービスプロバイダーが個人識別用情報（PII）や遺伝情報などの機密データを管理する場合、常時機密データベースにより、エンドツーエンド暗号化に関するコンプライアンス要件を満たすことができます。
セキュリティレベル
ApsaraDB RDS は、以下のセキュリティレベルで脅威を防止します（保護強度の昇順で記載）。
セキュリティレベル |
保護内容 |
信頼要件 |
分離方法 |
利用可能状況 |
クラウド上の通常のデータベース |
Alibaba Cloud のセキュリティサービスと併用することで、ほとんどの外部攻撃を阻止します |
オペレーティングシステム、データベースソフトウェア、サービスとしてのインフラストラクチャ（IaaS）の O&M 担当者、およびデータベースユーザー |
Alibaba Cloud のセキュリティサービス |
利用可能 |
常時機密データベース（ベーシック版）推奨 |
データは利用可能ですが、DBA を含むすべてのデータベースユーザーには見えません。常時機密アクセス制御モジュールと併用することで、データベースユーザーによるデータ操作能力を制限できます。 |
オペレーティングシステム、データベースソフトウェア、および IaaS の O&M 担当者 |
常時機密アクセス制御モジュール |
すべてのインスタンスタイプで利用可能 |
常時機密データベース（ハードウェア強化版） |
TEE 技術を活用し、常時機密データベース（ベーシック版）を利用する RDS インスタンスを TEE 環境で実行可能にします。これにより、すべての外部セキュリティ脅威が遮断されます。 |
オペレーティングシステムおよびデータベースソフトウェア |
TEE 技術：Intel SGX、Intel TDX、ARM TrustZone、AMD SEV、Hygon CSV、および機密コンテナー |
正式リリースされていません。TDX ベースのバージョンは、現時点で初期開発段階です。 |
すべてのセキュリティレベルで、完全準同型暗号化（FHE）および準同型暗号化を含む一貫した高度な暗号化機能が提供されます。TDX ベースのハードウェア強化版を試用する場合は、トライアルの申請をお願いいたします。