ApsaraDB RDS:バックアップ暗号化機能の使用

使用上の注意

• バックアップ暗号化機能を有効にした後、キーを変更することはできません。

• バックアップ暗号化機能を有効にした後、新しいバックアップファイルのみが暗号化されます。 既存のバックアップファイルは暗号化されません。

• バックアップ暗号化機能を有効にした後、RDS インスタンスのデータをオンプレミス データベースにリストアする場合は、バックアップファイルをダウンロードした後に RDS インスタンスのバックアップファイルを復号する必要があります。 詳細については、「バックアップファイルを復号する」をご参照ください。

  説明

  ApsaraDB RDS コンソールを使用してバックアップファイルから RDS インスタンスのデータを直接リストアする場合、バックアップファイルを復号する必要はありません。 バックエンドはリストアを実行する前に、バックアップファイルを自動的に復号します。 詳細については、「完全データをリストアする」をご参照ください。

• バックアップの暗号化に既存のカスタムキーを使用する場合は、以下の点に注意してください。

  • キーを無効にする、キーを削除する計画を設定する、またはキーマテリアルを削除すると、キーは使用できなくなります。 この場合、O&M 操作に使用できないキーで暗号化されたバックアップファイルが必要な場合、O&M 操作は失敗します。 これにより、インスタンスの可用性が低下する可能性があります。 使用できないキーで暗号化されたバックアップファイルからデータをリストアする場合、データのリストアも失敗します。

  • 次の権限を持つ Alibaba Cloud アカウントまたは RAM ユーザーを使用する必要があります。

    {
        "Version": "1",
        "Statement": [
            {
                "Action": [
                    "ram:CreateServiceLinkedRole"
                ],
                "Resource": "*",
                "Effect": "Allow",
                "Condition": {
                    "StringEquals": {
                        "ram:ServiceName": "backupencryption.rds.aliyuncs.com"
                    }
                }
            },
            {
                "Action": [
                    "kms:ListResourceTags",
                    "kms:TagResource"
                ],
                "Effect": "Allow",
                "Resource": [
                    "acs:kms:*:*:*"
                ]
            }
        ]
    }

    説明

    RAM コンソールを使用して権限を設定し、RAM ユーザーに権限を付与できます。 詳細については、「RAM ユーザーに ApsaraDB RDS インスタンスの管理を承認する」をご参照ください。

バックアップ暗号化機能を有効にする

1. [インスタンス] ページに移動します。 上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。 次に、RDS インスタンスを見つけて、インスタンスの ID をクリックします。

2. 左側のナビゲーションウィンドウで、[バックアップとリストア] をクリックします。

3. [バックアップとリストア] ページで、[バックアップ戦略] タブをクリックします。

4. [バックアップ暗号化設定] セクションの [編集] をクリックして、[バックアップ暗号化ステータス] をオンにします。

5. [バックアップセット暗号化情報] ダイアログボックスで、[バックアップマスターキー] パラメーターの値を選択し、[OK] をクリックします。

   • [自動生成キーを使用する]

     このオプションを選択すると、Alibaba Cloud はバックアップファイルを暗号化するために使用できるキーを生成します。

   • [既存のカスタムキーを使用する]

     このオプションを選択すると、KMS を使用して作成されたキーが使用されます。 キーが存在しない場合は、KMS を使用してキーを作成できます。 詳細については、「CMK を作成する」をご参照ください。

     説明

     KMS を使用してカスタムキーを初めて作成する場合は、表示される指示に従って承認を取得する必要があります。

バックアップ暗号化機能を有効にすると、RDS インスタンスのバックアップファイルが暗号化されます。 これらのバックアップファイルを Alibaba Cloud で使用する場合は、これらのバックアップファイルを手動で復号する必要はありません。 バックエンドは、データのリストアなどの操作を実行する前に、これらのバックアップファイルを自動的に復号します。 これらのバックアップファイルをコンピューターにダウンロードする場合は、これらのバックアップファイルを手動で復号する必要があります。 これらのバックアップファイルの復号方法の詳細については、「バックアップファイルを復号する」をご参照ください。

バックアップファイルを復号する

このセクションでは、Ubuntu 16.04 を例に使用して、バックアップファイルを復号する方法を示します。