ApsaraDB RDS:バックアップの暗号化

操作手順

1. バックアップセットの暗号文と暗号化アルゴリズムを取得します。

   1. ApsaraDB RDS コンソールにログインし、上部メニューでリージョンを選択してから、対象インスタンスの ID をクリックします。

   2. 左側メニューで、バックアップリカバリ をクリックします。

   3. バックアップリカバリ ページで、[基本バックアップ] > [データバックアップリスト] タブに移動します。

   4. 対象バックアップセットの 操作 列で、[] > [暗号化情報の表示] をクリックし、暗号文 と 暗号化アルゴリズム を取得します。

2. Decrypt API を呼び出します。手順 1 で取得した 暗号文 を CiphertextBlob パラメーターに渡し、Base64 エンコードされたバイナリ文字列 Plaintext を取得します。

   {
     "KeyId": "xxx",
     "KeyVersionId": "xxx",
     "Plaintext": "S14dTb16i4Qo",
     "RequestId": "7474865d-f1fc-49c8-bf4d-7323de86ce59"
   }

3. Plaintext 文字列を Base64 デコードし、得られたバイト列を 16 進数に変換して復号キーを取得します。この例では、Python 3 スクリプトを使用します。

   1. コマンドラインインターフェイスで vi decrypt.py を実行し、vi エディターを開きます。

   2. i を押して挿入モードに切り替えます。次の内容を入力し、ESC を押してから :wq を入力し、ファイルを保存して終了します。

      import base64
      import binascii
      plaintext = 'S14dTbl6i4Qo**********'  # 前の手順で取得した Plaintext を、単一引用符 ('') の間に入力します。
      password = binascii.b2a_hex(base64.b64decode(plaintext))   # 復号キーを取得し、password 変数に代入します。
      print(str(password, 'utf-8'))   # password を文字列として出力します。
                    

   3. python decrypt.py コマンドを実行します。コマンドにより復号キーが出力されます。次にサンプルキーを示します。

      4b5e1d4db97a********************

4. 暗号化されたバックアップデータをダウンロードし、データを復号します。

   1. バックアップデータをローカルマシンにダウンロードします。

   2. 次のコマンドを実行して、バックアップデータを格納するディレクトリを作成します (例： /home/mysql/data )。

      mkdir /home/mysql/data

   3. パッケージを展開します。ファイルの拡張子に応じて展開コマンドを選択します。

      ファイルタイプ	展開コマンド
      tar パッケージ (.tar.gz)	tar -izxvf test1.tar.gz -C /home/mysql/data
      xbstream パッケージ (.xb.gz)	gzip -d -c test1.xb.gz | xbstream -x -v -C /home/mysql/data
      xbstream ファイルパッケージ (_qp.xb)	## まずファイルを展開します。 cat test1_qp.xb | xbstream -x -v -C /home/mysql/data ## 次にファイルを展開します。 ### MySQL 5.6/5.7 の場合 innobackupex --decompress --remove-original /home/mysql/data ### MySQL 8.0 の場合 xtrabackup --decompress --remove-original --target-dir=/home/mysql/data
      xbstream qpress パッケージ (_xb.qp)	qpress -do test1_xb.qp | xbstream -x -v -C /home/mysql/data

      展開後、ほとんどのデータファイルの拡張子は .xbcrypt になります。これは暗号化されていることを示します。

      backup-my.cnf.xbcrypt        testdb
      dbfortest                     xtrabackup_binlog_info.xbcrypt
      ibdata1.xbcrypt               xtrabackup_checkpoints
      mysql                         xtrabackup_info.xbcrypt
      performance_schema            xtrabackup_logfile.xbcrypt
      rds_table_info_json_105244.log  xtrabackup_slave_filename_info.xbcrypt
      _recycle_bin_                 xtrabackup_slave_info.xbcrypt

   4. 次のコマンドを実行してデータを復号します。

      xtrabackup --decompress --remove-original --decrypt=AES256 --encrypt-key=4b5e1d4db97a******************** --target-dir=/home/mysql/data

      説明

      主要パラメーター：

      • decrypt：手順 1 で取得した 暗号化アルゴリズム です。この例では、値は AES256 です。

      • encrypt-key：手順 3 で取得した復号キーです。

      • target-dir：バックアップファイルが保存されているディレクトリです。

      コマンドの実行後、ファイル名から .xbcrypt 拡張子が消えます。これにより、データが復号されたことを確認できます。

      backup-my.cnf            testdb
      dbfortest                xtrabackup_binlog_info
      ibdata1                  xtrabackup_checkpoints
      mysql                    xtrabackup_info
      performance_schema       xtrabackup_logfile
      rds_table_info_json_105244.log  xtrabackup_slave_filename_info
      recycle_bin              xtrabackup_slave_info