保存データのセキュリティを向上させるために、ディスク暗号化を有効にできます (無料)。これにより、ストレージディスクやデータバックアップが侵害された場合でも、データが読み取れない状態を維持できます。ディスク暗号化を有効にするためにお客様のアプリケーションコードを変更する必要はなく、インスタンスのパフォーマンスへの影響はごくわずかです。また、すべてのスナップショットバックアップは、この暗号化を自動的に継承します。
ディスク暗号化の概要
仕組み
ディスク暗号化では、業界標準の AES-256 アルゴリズムを使用してデータディスク全体を暗号化します。この機能を有効にすると、データはディスクに書き込まれる前に自動的に暗号化され、暗号文として保存されます。これにより、ストレージディスクやデータバックアップが侵害された場合にデータが読み取れなくなり、データセキュリティが向上します。許可されたユーザーがデータを読み取ると、ディスクは自動的にデータを復号します。プロセス全体はアプリケーションに対して透過的であり、お客様のアプリケーションコードを変更する必要はありません。詳細については、「暗号化されたディスク」をご参照ください。
暗号鍵
Key Management Service (KMS) は、ディスク暗号化に必要なキーを提供します。デフォルトキー (サービスキーとカスタマーマスターキー)、ソフトウェアで保護されたキー、ハードウェアで保護されたキーなど、さまざまな種類の KMS キーを使用してディスクを暗号化できます。次の表では、これらのキータイプの違いについて説明します。
キータイプ | 暗号化アルゴリズム | コスト | 作成者 | キーマテリアルのソース | 説明 | |
デフォルトキー | サービスキー | AES_256 | 無料 | お客様に代わってクラウドサービスによって作成および管理されます。 | 削除または無効化はできません。各ユーザーは、同じリージョン内で RDS 専用のサービスキーを 1 つだけ持つことができます。 | |
カスタマーマスターキー (CMK) | ユーザー | KMS によって生成されるか、ユーザーによってインポートされます。 | ライフサイクルを管理できます。各ユーザーは、リージョンごとに 1 つの CMK のみを持つことができます。 | |||
ソフトウェアで保護されたキーとハードウェアで保護されたキー | 有料 | ユーザー | KMS によって生成されるか、ユーザーによってインポートされます。 | ライフサイクルを管理し、複数のキーを作成できます。 | ||
インスタンス間のキーの分離がビジネス上不要で、コストを削減したい場合は、デフォルトキー (サービスキーまたはカスタマーマスターキー) を使用できます。これらのキータイプは無料ですが、数量に制限があります。各ユーザーは、同じリージョン内で RDS 専用のカスタマーマスターキーとサービスキーをそれぞれ 1 つずつしか持つことができません。
異なる RDS インスタンスを暗号化するために異なるキーを使用する必要がある場合や、認証情報管理やデジタル署名などのより多くの機能が必要な場合は、ソフトウェアまたはハードウェアのキーインスタンスを購入して、対応するキーを作成できます。詳細については、「KMS インスタンスタイプの選択」をご参照ください。
適用範囲
ApsaraDB RDS for MySQL の読み取り専用インスタンスでは、手動でディスク暗号化を有効にすることはできません。
プライマリ ApsaraDB RDS for MySQL インスタンスでディスク暗号化を有効にするには、次の条件を満たす必要があります。
ストレージタイプが ESSD または 標準 SSD であること。
プライマリインスタンスにアタッチされた読み取り専用インスタンスがないこと。読み取り専用インスタンスがアタッチされている場合は、まずそれらをリリースしてからディスク暗号化を有効にする必要があります。ディスク暗号化を有効にした後、このプライマリインスタンス用に作成された新しい読み取り専用インスタンスは、デフォルトで暗号化ディスクを使用します。
ApsaraDB RDS が Key Management Service (KMS) にアクセスすることを承認していること。
課金
ディスク暗号化機能は無料です。ディスクの読み取りまたは書き込み操作に対して追加料金は発生しません。
暗号鍵は KMS によって管理されます。デフォルトキー (サービスキーとカスタマーマスターキー) は無料です。ソフトウェアで保護されたキーとハードウェアで保護されたキーの使用には、KMS の料金が発生します。
注意事項
ディスク暗号化は、一度有効にすると無効にできません。
サービス中断：既存のインスタンスでディスク暗号化を有効にする場合や、暗号鍵を変更する場合、約 30 秒間の短いサービス中断が発生します。お客様のアプリケーションに自動再接続メカニズムがあることを確認してください。
バックアップとリカバリ：ディスク暗号化を有効にすると、インスタンスはポイントインタイムバックアップをサポートしなくなり、バックアップファイルをダウンロードすることもできなくなります。インスタンスから生成されたスナップショットバックアップ、およびそれらのスナップショットバックアップから作成されたインスタンスは、暗号化属性を自動的に継承します。
キーの制限：利用可能なインスタンスタイプによって、使用できる KMS キーが制約されます。KMS の料金滞納、またはキーの無効化や削除は、ディスク暗号化が有効になっているインスタンスに影響を与える可能性があります。
キー選択の制約：汎用インスタンスタイプのインスタンスは、サービスキーのみをサポートします。専用インスタンスタイプのインスタンスは、サービスキーまたは他のタイプのユーザー定義キーを使用できます。
KMS の料金滞納による影響：ソフトウェアで保護されたキーやハードウェアで保護されたキーなど、有料のキータイプを使用している場合、KMS インスタンスの支払いが遅延すると、ディスクの復号が妨げられ、RDS インスタンスが利用できなくなります。KMS インスタンスを期限内に更新するようにしてください。
キーの無効化または削除による影響：カスタマーマスターキー (CMK)、ソフトウェアで保護されたキー、ハードウェアで保護されたキーなど、ライフサイクルを管理できるキーの場合、キーを無効化または削除すると、関連付けられた RDS インスタンスがロックされます。インスタンスはアクセス不能になり、機能しなくなります。バックアップ、構成変更、再起動、HA 切り替えなどのすべての O&M 操作は失敗します。
ディスク暗号化の有効化
新規インスタンスの場合
ApsaraDB RDS for MySQL の購入ページに移動し、左上隅にある 標準作成 タブをクリックします。
ストレージタイプ セクションで、ディスクストレージタイプを選択し、右側の クラウドディスク暗号化 チェックボックスをオンにします。
キーを選択します。
サービスキー (無料) を使用するには、デフォルトサービス CMK を選択します。このオプションは、現在のリージョンにサービスキーが存在するかどうかに関係なく選択できます。
カスタマーマスターキー (無料)、ソフトウェアで保護されたキー (有料)、または ハードウェアで保護されたキー (有料) を使用するには、キーが既に存在する場合はドロップダウンリストから選択します。キーが存在しない場合は、今すぐ作成 をクリックして、KMS コンソールでキーを作成します。
説明現在のリージョンにサービスキーがない場合、デフォルトサービス CMK を選択すると、エイリアス alias/acs/rds を持つサービスキーが自動的に作成されます。
サービスキーが既に存在する場合、デフォルトサービス CMK を選択しても新しいキーは作成されません。代わりに、エイリアス alias/acs/rds を持つ既存のサービスキーがデフォルトで暗号化に使用されます。各 Alibaba Cloud サービスは、1 つのリージョンに 1 つのサービスキーしか持ちません。
お客様のビジネス要件に基づいて他のパラメーターを設定します。支払いが完了したら、インスタンスページに移動し、ターゲットインスタンスの ID をクリックして、基本情報 セクションにキー情報が表示されることを確認します。これにより、ディスク暗号化が有効になったことが示されます。
既存インスタンスの場合
既存のインスタンスでディスク暗号化を有効にすると、約 30 秒間の短いサービス中断が発生します。お客様のアプリケーションに自動再接続メカニズムがあることを確認してください。
インスタンスページに移動します。上部のナビゲーションバーで、インスタンスが存在するリージョンを選択します。次に、インスタンスの ID をクリックします。
左側のナビゲーションウィンドウで、データセキュリティ をクリックします。
データ暗号化 タブをクリックし、ディスク暗号化を有効化 をクリックします。
表示されるダイアログボックスでキーを選択し、OK をクリックします。インスタンスのステータスはすぐに パラメーター変更中 に変わります。
プロセスが完了するまで待ちます。インスタンスのステータスが 実行中 に変わり、暗号化情報が データ暗号化 タブに表示されると、ディスク暗号化が有効になったことを示します。
暗号鍵の変更
ディスク暗号化が有効になっている場合、専用インスタンスタイプの ApsaraDB RDS for MySQL インスタンスの暗号鍵を変更できます。汎用インスタンスタイプのインスタンスはサービスキーのみを使用し、このキーは変更できません。
暗号鍵を変更すると、約 30 秒間の短いサービス中断が発生します。お客様のアプリケーションに自動再接続メカニズムがあることを確認してください。
インスタンスページに移動します。上部のナビゲーションバーで、インスタンスが存在するリージョンを選択します。次に、インスタンスの ID をクリックします。
左側のナビゲーションウィンドウで、データセキュリティ をクリックします。
データ暗号化 タブで、キーの変更 をクリックします。
データディスク暗号化キーの変更 ダイアログボックスでキーを選択し、OK をクリックします。
関連トピック
TDE (透過的データ暗号化)、ディスク暗号化、および常時機密データベースの比較については、「データベース暗号化技術の比較」をご参照ください。
他のデータベースエンジンでのディスク暗号化の使用：
関連 API オペレーション：DescribeDBInstanceEncryptionKey - インスタンスのディスク暗号化ステータスとキー詳細のクエリ