RDS for MySQL ディスク暗号化 - ApsaraDB RDS - Alibaba Cloud ドキュメントセンター

ディスク暗号化の概要

仕組み

ディスク暗号化は、業界標準の AES-256 アルゴリズムを使用して、データディスク全体を暗号化します。この機能を有効にすると、データをディスクに書き込む前に自動的に暗号化し、暗号文として保存します。これにより、ストレージディスクやデータバックアップが侵害された場合でも、データを読み取り不可能にすることで、データのセキュリティが強化されます。承認されたユーザーがデータを読み取る際には、ディスクが自動的にデータを復号します。このプロセス全体はアプリケーションに対して透過的で、アプリケーションコードの変更は不要 です。詳細については、「暗号化されたディスク」をご参照ください。

暗号化キー

Key Management Service (KMS) は、ディスク暗号化に必要なキーを提供します。デフォルトキー (サービスキーおよびカスタマーマスターキー)、ソフトウェアで保護されたキー、ハードウェアで保護されたキーなど、さまざまなタイプの KMS キーを使用してディスクを暗号化できます。次の表は、これらのキータイプの違いを示しています。

キータイプ		暗号化アルゴリズム	料金	作成者	キーマテリアルソース	説明
デフォルトキー	サービスキー	AES_256	無料	お客様に代わり、クラウドサービスが作成・管理します。		削除または無効化はできません。各ユーザーは、同一リージョン内で RDS 専用のサービスキーを 1 つのみ保持できます。
デフォルトキー	カスタマーマスターキー (CMK)	AES_256	無料	ユーザー	KMS によって生成されるか、ユーザーによってインポートされます。	ライフサイクルを制御できます。各ユーザーは、リージョンごとに 1 つの CMK のみ保持できます。
ソフトウェアで保護されたキーおよびハードウェアで保護されたキー		複数のアルゴリズム	有料	ユーザー	KMS によって生成されるか、ユーザーによってインポートされます。	ライフサイクルを管理でき、複数のキーを作成できます。

ビジネス上、インスタンス間のキーの分離が不要で、コストを削減したい場合は、デフォルトキー (サービスキーまたはカスタマーマスターキー) を使用できます。これらのキータイプは無料ですが、数量制限があります。各ユーザーは、同一リージョン内で RDS 専用のカスタマーマスターキーとサービスキーを、それぞれ 1 つずつのみ保持できます。
異なる RDS インスタンスを暗号化するために異なるキーを使用する必要がある場合、または認証情報管理やデジタル署名などの追加機能が必要な場合は、ソフトウェアまたはハードウェアキーインスタンスを購入して、対応するキーを作成できます。詳細については、「KMS インスタンスタイプの選択」をご参照ください。

適用性

ApsaraDB RDS for MySQL 読み取り専用インスタンスのディスク暗号化を手動で有効にすることはできません。
ApsaraDB RDS for MySQL プライマリインスタンスのディスク暗号化を有効にするには、次の条件を満たす必要があります：
- ストレージタイプは [ESSD] または [標準 SSD] です。
- プライマリインスタンスに読み取り専用インスタンスがアタッチされていないこと。 読み取り専用インスタンスがアタッチされている場合は、ディスク暗号化を有効にする前に、まずそれらを解放する必要があります。ディスク暗号化を有効にした後、このプライマリインスタンス用に作成された新しい読み取り専用インスタンスは、デフォルトで暗号化されたディスクを使用します。
事前に ApsaraDB RDS による Key Management Service (KMS) へのアクセスを承認しておく必要があります。

課金

ディスク暗号化機能は無料 です。ディスクの読み取りまたは書き込み操作で追加料金が発生することはありません。
暗号化キーは KMS によって管理されます。デフォルトキー (サービスキーおよびカスタマーマスターキー) は無料です。ソフトウェアで保護されたキーおよびハードウェアで保護されたキーを使用する場合、KMS 料金がかかります。

注意事項

ディスク暗号化は、一度有効にすると無効にすることはできません。
サービス中断：既存のインスタンスでディスク暗号化を有効にする場合、または暗号化キーを変更する場合、約 30 秒間のサービス中断が発生します。アプリケーションに自動再接続メカニズムが備わっていることを確認してください。
バックアップとリカバリ： ディスク暗号化を有効にした後、インスタンスはポイントインタイムバックアップをサポートせず、バックアップファイルのダウンロードもできません。インスタンスから生成されたスナップショットバックアップと、そのバックアップから作成されたインスタンスは、自動的に暗号化属性を継承します。
キーの制限： インスタンスタイプによって、使用できる KMS キーに制約があります。KMS の支払い遅延、またはキーの無効化や削除は、ディスク暗号化が有効になっているインスタンスに影響を与える可能性があります。
- キー選択の制約： 汎用インスタンスタイプのインスタンスは、サービスキーのみをサポートします。専用インスタンスタイプのインスタンスは、サービスキーまたはその他のタイプのユーザー定義キーを使用できます。
- KMS 支払い遅延の影響： ソフトウェアで保護されたキーやハードウェアで保護されたキーなどの有料キータイプを使用している場合、KMS インスタンスの支払い遅延により、ディスクの復号化ができなくなり、RDS インスタンスが利用不可能になります。KMS インスタンスを期限内に更新してください。
- キーの無効化または削除の影響： カスタマーマスターキー (CMK)、ソフトウェアで保護されたキー、ハードウェアで保護されたキーなど、ライフサイクルを管理できるキーについては、キーを無効化または削除すると、関連する RDS インスタンスがロックされます。インスタンスにアクセスできなくなり、機能しなくなります。バックアップ、設定変更、再起動、HA 切り替えなどのすべての運用操作が失敗します。

ディスク暗号化の有効化

新規インスタンスの場合

ApsaraDB RDS for MySQL 購入ページに移動し、左上隅にある[標準作成] タブをクリックします。
[ストレージタイプ] セクションで、ディスクストレージタイプを選択し、右側の [クラウドディスク暗号化] チェックボックスを選択します。
キーを選択します。
- サービスキー (無料) を使用するには、[デフォルトのサービス CMK] を選択します。このオプションは、現在のリージョンにサービスキーが存在するかどうかに関係なく選択できます。
- カスタマーマスターキー (無料)、ソフトウェアで保護されたキー (有料)、またはハードウェアで保護されたキー (有料) を使用するには、キーが既に存在する場合はドロップダウンリストからキーを選択します。キーが存在しない場合は、[今すぐ作成] をクリックしてKMS コンソールでキーを作成します。
  説明
  - 現在のリージョンにサービスキーがない場合、[デフォルトのサービス CMK] を選択すると、エイリアス [alias/acs/rds] を持つサービスキーが自動的に作成されます。
  - サービスキーがすでに存在する場合、[デフォルトのサービス CMK] を選択しても、新しいキーは作成されません。代わりに、エイリアス [alias/acs/rds] を持つ既存のサービスキーが、デフォルトで暗号化に使用されます。各 Alibaba Cloud サービスは、リージョンごとに 1 つのサービスキーのみを持ちます。
ビジネス要件に基づいて他のパラメーターを設定します。支払い完了後、[インスタンス] ページに移動し、対象インスタンスの ID をクリックして、[基本情報] セクションにキー情報が表示されることを確認します。これは、ディスク暗号化が有効になっていることを示します。

既存のインスタンスの場合

重要

既存のインスタンスでディスク暗号化を有効にすると、約 30 秒間のサービス中断が発生します。アプリケーションに自動再接続メカニズムが備わっていることを確認してください。

インスタンスページに移動します。上部メニューで、インスタンスが存在するリージョンを選択します。次に、インスタンスの ID をクリックします。
左側のナビゲーションペインで、[データセキュリティ]をクリックします。
[データ暗号化] タブをクリックし、[ディスク暗号化を有効にする] をクリックします。
表示されるダイアログボックスでキーを選択し、[OK] をクリックします。インスタンスのステータスがただちに [パラメーターの変更中] に変わります。
プロセスが完了するまで待ちます。インスタンスのステータスが[実行中]に変わり、[データ暗号化]タブに暗号化情報が表示されると、ディスク暗号化が有効になったことを示します。

暗号化キーの変更

ディスク暗号化が有効になっている場合、専用インスタンスタイプ の ApsaraDB RDS for MySQL インスタンスの暗号化キーを変更できます。汎用インスタンスタイプのインスタンスはサービスキーのみを使用し、このキーは変更できません。

重要

暗号化キーを変更すると、約 30 秒間のサービス中断が発生します。アプリケーションに自動再接続メカニズムが備わっていることを確認してください。

インスタンスページに移動します。上部メニューで、インスタンスが存在するリージョンを選択します。次に、インスタンスの ID をクリックします。
左側のナビゲーションペインで、[データセキュリティ] をクリックします。
[データ暗号化] タブで、[キーの変更] をクリックします。
[データディスク暗号化キーの変更] ダイアログボックスで、キーを選択し、[OK] をクリックします。

ApsaraDB RDS:ディスク暗号化