Como ativar a criptografia transparente de dados (TDE) (Beta) - : Central de Documentação do Alibaba Cloud

Lindorm oferece o recurso de criptografia transparente de dados (TDE). Com a TDE ativada, o Lindorm usa uma hierarquia de chaves para criptografar arquivos de dados. Todos os dados armazenados no sistema de arquivos permanecem em texto cifrado. Para aumentar a segurança, ative a TDE no console e criptografe os dados da instância. Este tópico descreve as etapas para ativar esse recurso.

Pré-requisitos

A solução de implantação da instância Lindorm deve ser Single Zone. Para mais informações, consulte Criar uma instância.
O Key Management Service (KMS) deve estar ativado. Para mais informações, consulte Ativar o Key Management Service.
Autorize o Lindorm a acessar o KMS por meio de uma função vinculada ao serviço. Para mais informações, consulte Funções vinculadas ao serviço para o Lindorm.

Contexto

O recurso de Criptografia Transparente de Dados (TDE) do Lindorm suporta os algoritmos AES e SM4. O Key Management Service (KMS) gera e gerencia as chaves usadas na TDE. O KMS fornece uma chave mestra do cliente (CMK) para criptografar uma chave de dados, que então criptografa seus dados. Esse processo chama-se criptografia de envelope. Durante a descriptografia, o sistema lê o texto cifrado da chave de dados e usa a CMK para decifrá-lo, obtendo a chave de dados em texto simples. Essa chave em texto simples descriptografa os dados. A criação da CMK ocorre por meio de uma API do KMS. Se você fornecer uma senha, também poderá criptografar a CMK para aumentar sua segurança.

Considerações

Ao ativar a TDE, a instância reinicia uma vez, causando uma desconexão transitória. Execute essa operação fora dos horários de pico e garanta que sua aplicação tenha um mecanismo de reconexão.
A reinicialização da instância e a desconexão transitória não causam perda de dados.
Após a ativação, não é possível desativar a TDE.

Procedimento

Faça login no console do Lindorm.
Clique em ID da instância desejada para acessar a página Instances.
No painel de navegação à esquerda, selecione Wide Table Engine > Data Security. A página Transparent Data Encryption (TDE) é exibida por padrão.
Ative a chave Current Status:.
Na caixa de diálogo Enable TDE, selecione Use Automatically Generated Key ou Use Custom Key.
- Se selecionar Use Automatically Generated Key, clique em OK para ativar a TDE.
- Caso selecione Use Custom Key, escolha uma chave do Key Management Service (KMS) na lista Set Key: e clique em OK para ativar a TDE.
  
  Nota
  Para criar uma chave personalizada, clique em Manage Key e acesse o console do KMS. No console do KMS, crie uma chave e importe o material da chave. Para mais informações, consulte Criar uma chave.

Próximas etapas

Após ativar a TDE, conecte-se à instância usando o Lindorm-cli e execute uma instrução DDL (Data Definition Language) em uma tabela para aplicar a criptografia. Para mais detalhes sobre como se conectar a uma instância, consulte Conectar e usar o wide table engine com o Lindorm-cli.

Ao criar uma nova tabela, adicione a instrução WITH (FILEVERSION = 5, ENCRYPTION = AES).

CREATE table testsql (p1 varchar, p2 varchar, p3 bigint, c1 varchar, c2 double, constraint primary key (p1, p2, p3 desc)) WITH (FILEVERSION = 5, ENCRYPTION = AES);

Para tabelas existentes, use a palavra-chave ALTER e a cláusula WITH (FILEVERSION = 5, ENCRYPTION = SMS4).
```
ALTER table testsql WITH (FILEVERSION = 5, ENCRYPTION = SMS4) ;
```

Nota

FILEVERSION especifica a versão do arquivo, que deve ser definida como 5 para usar o recurso de criptografia.
ENCRYPTION define o tipo de algoritmo de criptografia. O valor pode ser AES ou SMS4.
Use a instrução ENCRYPTION=NONE para descriptografar os dados.
É possível alternar o algoritmo de criptografia, por exemplo, de AES para SMS4. No entanto, não recomendamos esse método. Para fazer isso, siga estas etapas:
1. Use a instrução ENCRYPTION=NONE para descriptografar os dados da tabela.
2. Execute uma operação major_compact na tabela e aguarde a conclusão.
3. Use a instrução ENCRYPTION=SMS4 para definir o tipo de criptografia de dados como SMS4.