ApsaraDB RDS for PostgreSQL のクラウドディスク暗号化 - ApsaraDB RDS

クラウドディスク暗号化は、ApsaraDB RDS for PostgreSQL インスタンスに保存されているデータを保護する機能です。追加コストはかからず、アプリケーションの変更も必要ありません。

クラウドディスク暗号化を有効にすると、暗号化されたクラウドディスクに書き込まれるすべてのデータが自動的に暗号化されます。ディスクのスナップショットは同じキーを使用して暗号化され、暗号化されたスナップショットから作成された新しいインスタンスでも暗号化が自動的に有効になります。

前提条件

開始する前に、次のことを確認してください。

お使いの RDS インスタンスが RDS Basic Edition、RDS High-availability Edition、または RDS Cluster Edition であり、Enterprise SSD (ESSD) または Premium ESSD を使用していること。
Key Management Service (KMS) が有効化されていること。詳細については、「KMS インスタンスの購入と有効化」をご参照ください。

説明

サーバーレス RDS インスタンスでは、クラウドディスク暗号化はサポートされていません。

キータイプの選択

暗号化を有効にする前に、使用するキータイプを決定します。利用可能なキータイプは、インスタンスタイプによって異なります。

インスタンスタイプ	サポートされるキータイプ
汎用	サービスキー (ApsaraDB RDS によって管理) のみ
専用	サービスキーまたはカスタマーマスターキー (CMK)

サービスキー (推奨)

サービスキーは Alibaba Cloud によって自動的に生成され、ApsaraDB RDS によって管理されます。KMS でのエイリアスは alias/acs/rds で、キー仕様は Aliyun_AES_256 です。キーローテーションはデフォルトで無効になっています。これを有効にするには、KMS コンソールでキーローテーション機能を購入します。詳細については、「キーローテーションを設定する」をご参照ください。

カスタマーマスターキー (CMK)

CMK は、お客様が KMS で作成および管理するキーです。専用インスタンスのみが CMK ベースの暗号化をサポートします。

重要

暗号化に使用している KMS キーを無効化または削除すると、RDS インスタンスは直ちにロックされ、アクセスできなくなります。また、バックアップ、仕様変更、クローン作成、再起動、高可用性スイッチオーバー、パラメーター変更などの O&M 操作も実行できなくなります。このリスクを回避するために、サービスキーを使用することを推奨します。

クラウドディスク暗号化の有効化

新しいインスタンスの暗号化の有効化

インスタンスの作成時に、[ストレージタイプ] の横にある [クラウドディスク暗号化] を選択し、キーを選択します。デフォルトでは [デフォルトサービス CMK] が選択されています。[デフォルトサービス CMK] は、システムが自動的にサービスキーを作成するオプションです。

インスタンス作成手順の詳細については、「ApsaraDB RDS for PostgreSQL インスタンスの作成」をご参照ください。

既存インスタンスの暗号化の有効化

インスタンスページに移動します。上部メニューで、インスタンスが存在するリージョンを選択し、インスタンス ID をクリックします。
左側メニューで、[データセキュリティ] をクリックします。
[データ暗号化] タブで、[暗号化を有効にする] をクリックします。
ダイアログボックスでキーを選択し、[OK] をクリックします。[自動生成キーを使用] を選択することを推奨します。これは、Alibaba Cloud によって自動的に生成され、ApsaraDB RDS によって管理されるサービスキーを指定します。

インスタンスが再起動し、瞬断が発生します。インスタンスのステータスが [実行中] に変わると、暗号化が有効になります。

説明

お使いのアプリケーションがインスタンスに自動的に再接続するように設定されていることを確認してください。

暗号化ステータスの確認

暗号化を有効にしたら、有効になっていることを確認してください。

インスタンスの [基本情報] ページに移動するか、左側メニューで [データセキュリティ] をクリックして [データ暗号化] タブを開きます。
暗号化キーが表示されていることを確認します。

現在のアカウントのすべての KMS キーを表示するには、KMS コンソールを開き、左側メニューで [キー] をクリックし、[デフォルトキー] タブを選択してください。[キーの用途] 列に [サービスキー] と表示されているキーは、Alibaba Cloud サービスによって管理されています。

暗号化キーの変更

インスタンスページに移動します。リージョンを選択し、インスタンス ID をクリックします。
左側メニューで、[データセキュリティ] をクリックします。
[データ暗号化] タブで、[キーの置換] をクリックします。
ダイアログボックスで新しいキーを選択し、[OK] をクリックします。

インスタンスが再起動し、瞬断が発生します。

クラウドディスク暗号化の無効化

インスタンスページに移動します。リージョンを選択し、インスタンス ID をクリックします。
左側メニューで、[データセキュリティ] をクリックします。
[データ暗号化] タブで、[キーの置換] をクリックします。
ダイアログボックスで [キーの無効化] を選択し、[OK] をクリックします。