ApsaraDB RDS for SQL Server のディスク暗号化 - ApsaraDB RDS - Alibaba Cloud ドキュメントセンター

ApsaraDB RDS for SQL Server は、ディスク暗号化機能を無料で提供しています。この機能は、インスタンスの作成時に有効にできます。この機能は、ブロックストレージを使用してデータディスク上のすべてのデータを暗号化します。これにより、高レベルのデータセキュリティが保証されます。ディスク暗号化を有効にしても、ビジネスに影響を与えたり、アプリケーションを変更したりする必要はありません。

適用範囲

ApsaraDB RDS for SQL Server の読み取り専用インスタンスまたはサーバーレスインスタンスでは、ディスク暗号化を手動で有効にすることはできません。
プライマリ ApsaraDB RDS for SQL Server インスタンスでディスク暗号化を有効にするには、次の条件を満たす必要があります:
- ストレージタイプが [企業向け SSD (ESSD)] であること。
- インスタンスタイプが [専用]、[汎用]、または [共有] であること。共有インスタンスタイプの場合、ディスク暗号化はインスタンスの作成時にのみ有効にできます。
- プライマリインスタンスに読み取り専用インスタンスがアタッチされていないこと。読み取り専用インスタンスがアタッチされている場合は、まず読み取り専用インスタンスを解放してからディスク暗号化を有効にする必要があります。ディスク暗号化を有効にすると、プライマリインスタンス用に作成された新しい読み取り専用インスタンスでは、デフォルトでディスク暗号化が有効になります。
ディスク暗化を有効にすると、次の制限が適用されます:
- 一度有効にすると、ディスク暗号化を無効にすることはできません。
- キー選択の制限: 共有インスタンスは、RDS が管理するサービスキー (Default Service CMK) でのみ暗号化できます。汎用インスタンスと専用インスタンスは、サービスキーまたはカスタムキーで暗号化できます。
- マイナーエンジンバージョンのアップグレード制限: ディスク暗化を有効にすると、マイナーエンジンバージョンを更新できません。

課金

ディスク暗化機能は無料です。これには、暗化されたディスクでの読み取りおよび書き込み操作が含まれます。
ディスク暗化に必要なキーは、Key Management Service (KMS) によって管理されます。サービスキーやマスターキーなどのデフォルトキーは無料です。カスタムのソフトウェア保護キーまたはハードウェア保護キーは、KMS によって課金されます。

使用上の注意

一時的な切断: キーを変更したり、既存のインスタンスでディスク暗化を有効にしたりすると、一時的な切断が発生します。インスタンスは、高可用性またはクラスター版インスタンスの場合は約 30 秒間、Basic Edition インスタンスの場合は約 5 分間使用できなくなります。これらの操作はオフピーク時に実行し、アプリケーションに自動再接続メカニズムがあることを確認することをお勧めします。
KMS の支払い遅延、またはキーの無効化や削除は、ディスク暗化が有効になっているインスタンスに影響します:
- KMS の支払い遅延の影響: ソフトウェア保護キーやハードウェア保護キーなどの有料キータイプを使用している場合、KMS の支払いが遅延すると、インスタンスのディスクが復号できなくなります。その結果、インスタンス全体が使用できなくなります。KMS インスタンスを期限内に更新するようにしてください。
- キーの無効化または削除の影響: マスターキー、ソフトウェア保護キー、ハードウェア保護キーなど、ライフサイクルを管理できるキーの場合、キーを無効化または削除すると、そのキーを使用する RDS インスタンスがロックされ、アクセスできなくなります。インスタンスは期待どおりに実行できず、バックアップ、構成変更、再起動、高可用性 (HA) スイッチオーバーなどのすべての運用およびメンテナンス (O&M) アクティビティが失敗します。
RDS が管理するサービスキー (Default Service CMK) は、Aliyun_AES_256 仕様を使用します。キーローテーションサービスはデフォルトで無効になっています。キーローテーションサービスを有効にするには、KMS コンソールにログインして購入できます。

ディスク暗化の有効化

新しいインスタンスのディスク暗化を有効にする

ApsaraDB RDS for SQL Server インスタンスを作成する際に、ストレージタイプを [標準 SSD]、[企業向け SSD (ESSD)] に設定します。
ディスクを暗号化 を選択し、ターゲットキーを選択します。
説明
- カスタムキーの作成方法の詳細については、「キーの作成と有効化」をご参照ください。
- インスタンスを作成するときは、インスタンスタイプを選択する前に ディスクを暗号化 オプションを選択してください。
  ディスク暗化を有効にした共有インスタンスタイプを作成するには、キーパラメーターを [Default Service CMK] に設定します。共有インスタンスタイプは、サービスキーでのみ暗化できます。

既存のインスタンスのディスク暗化を有効にする

重要

既存のインスタンスでディスク暗化を有効にすると、一時的な切断が発生します。インスタンスは、高可用性またはクラスター版インスタンスの場合は約 30 秒間、Basic Edition インスタンスの場合は約 5 分間使用できなくなります。この操作はオフピーク時に実行し、アプリケーションに自動再接続メカニズムがあることを確認することをお勧めします。

[インスタンス] ページに移動します。上部のナビゲーションバーで、インスタンスのリージョンを選択します。次に、インスタンスを見つけてその ID をクリックします。
左側のナビゲーションウィンドウで、[データセキュリティ] をクリックします。
[データ暗化] タブで、[ディスク暗化を有効にする] をクリックします。
表示されるダイアログボックスで、目的のキーを選択し、[OK] をクリックします。インスタンスの状態はすぐに [パラメーターを変更中] に変わります。
インスタンスの状態が [実行中] に戻り、暗化情報が [データ暗化] タブに表示されると、ディスク暗化が有効になります。

ディスク暗化のステータスとキーの詳細の表示

[インスタンス] ページに移動します。上部のナビゲーションバーで、RDS インスタンスが存在するリージョンを選択します。次に、RDS インスタンスを見つけて、インスタンスの ID をクリックします。
インスタンスの 基本情報 ページで、ディスク暗化キーを表示します。
説明
- 基本情報 ページにキーが表示されない場合、インスタンスのディスク暗化は有効になっていません。
- 現在のアカウントのすべてのキーは、[KMS コンソール] で表示できます。
  [キー管理] > [デフォルトキー] タブで、[キーの使用法] が [サービスキー] の場合、そのキーは Alibaba Cloud サービスによって管理されます。

キーの変更

ディスク暗化が有効で、インスタンスが専用または [汎用] インスタンスタイプの場合、ApsaraDB RDS for SQL Server インスタンスのキーを変更できます。共有インスタンスはサービスキーしか使用できないため、共有インスタンスのキーは変更できません。

重要

キーを変更すると、一時的な切断が発生します。インスタンスは、高可用性またはクラスター版インスタンスの場合は約 30 秒間、Basic Edition インスタンスの場合は約 5 分間使用できなくなります。この操作はオフピーク時に実行し、アプリケーションに自動再接続メカニズムがあることを確認することをお勧めします。

[インスタンス] ページに移動します。上部のナビゲーションバーで、インスタンスのリージョンを選択します。次に、インスタンスを見つけてその ID をクリックします。
左側のナビゲーションウィンドウで、[データセキュリティ] をクリックします。
[データ暗化] タブで、[キーの変更] をクリックします。
[データディスク暗化キーの変更] ダイアログボックスで、目的のキーを選択し、[OK] をクリックします。

ApsaraDB RDS:ディスク暗号化