PolarDB:configure o TDE

Pré-requisitos

• O KMS está ativado. Para mais informações, consulte Purchase a Dedicated KMS instance.

• O PolarDB tem autorização para acessar o KMS. Para mais informações, consulte Authorize PolarDB to access KMS.

• A versão do seu cluster PolarDB for PostgreSQL (Compatible with Oracle) deve ser Oracle syntax compatibility 2.0, e a versão de revisão do kernel deve ser 2.0.14.12.23.1 ou posterior.

Informações de contexto

O TDE criptografa dados em repouso na camada do banco de dados para impedir que invasores contornem o banco de dados e leiam informações confidenciais diretamente do armazenamento. Aplicações e usuários autenticados no banco de dados continuam a acessar os dados da aplicação de forma transparente, sem alterar o código ou a configuração da aplicação. No entanto, o sistema nega acesso aos dados em texto simples para usuários do sistema operacional que tentarem ler dados confidenciais em arquivos de tablespace e para usuários não autorizados que tentarem ler dados de discos ou backups.

O Key Management service (KMS) gera e gerencia as chaves de criptografia que o TDE do PolarDB for PostgreSQL (Compatible with Oracle) utiliza. O PolarDB não fornece as chaves e os certificados necessários para a criptografia. Use chaves geradas automaticamente pela Alibaba Cloud ou use seu próprio material de chave para gerar chaves de dados e autorizar o PolarDB a usá-las.

Limitações

• Não é possível desativar o TDE após a ativação.

• Para cargas de trabalho com limite de E/S, a ativação do TDE pode causar um leve impacto no desempenho do banco de dados.

Procedimento

Para ative o TDE ao crie um cluster, consulte ou Create a PolarDB for PostgreSQL (Compatible with Oracle) cluster. O procedimento a seguir descreve como ative o TDE para um cluster PolarDB existente.

1. Acesse o console do PolarDB. No painel de navegação à esquerda, clique em Clusters. Na barra de navegação superior, selecione a região de implantação do cluster e clique em ID do cluster.

2. No painel de navegação à esquerda, escolha Settings and Management > Security.

3. Na aba TDE Settings, ative a opção TDE Status.

   Não é possível desativar o TDE após a ativação. Prossiga com cuidado.

4. Na caixa de diálogo exibida, selecione Use Default Key CMK ou Use Existing Custom Key.

   • Se selecione Use Default Key CMK, clique em OK para ative o TDE.

     Importante: ative o TDE reinicia a instância do PolarDB e leva cerca de 10 minutos. Esta operação requer uma conta root ou uma conta com a permissão AliyunSTSAssumeRoleAccess. A chave fica indisponível se você a desativar, agendar para exclusão ou excluir o material da chave. Se você revogar a autorização, a instância ficará indisponível após a reinicialização. O sistema oferece suporte apenas ao tipo de chave Aliyun_AES_256.

   • Se selecione Use Existing Custom Key, selecione uma chave gerada pelo KMS na lista suspensa e clique em OK para ative o TDE.

     Na caixa de diálogo configure TDE, também é possível ative a Automatic TDE Key Rotation, desativada por padrão. Importante: ative o TDE reinicia a instância do PolarDB e leva cerca de 10 minutos. Esta operação requer uma conta root ou uma conta com a permissão AliyunSTSAssumeRoleAccess. Desativar a chave a torna indisponível. Se você revogar a autorização, a instância ficará indisponível após a reinicialização. O sistema oferece suporte apenas ao tipo de chave Aliyun_AES_256.

A ativação do TDE leva cerca de 10 minutos.

visualize o status do TDE

1. Acesse o console do PolarDB. No painel de navegação à esquerda, clique em Clusters. Na barra de navegação superior, selecione a região de implantação do cluster e clique em ID do cluster.

2. No painel de navegação à esquerda, escolha Settings and Management > Security.

3. Na aba TDE Settings, visualize a opção TDE Status.

Alternar para uma chave personalizada

1. Acesse o console do PolarDB. No painel de navegação à esquerda, clique em Clusters. Na barra de navegação superior, selecione a região de implantação do cluster e clique em ID do cluster.

2. No painel de navegação à esquerda, escolha Settings and Management > Security.

3. Na aba TDE Settings, clique em opção TDE Status.

4. Não é possível desativar o TDE após a ativação. Prossiga com cuidado.

5. Na caixa de diálogo exibida, selecione Use Existing Custom Key, selecione uma chave gerada pelo KMS na lista suspensa e clique em OK.

   Nota

   Para obter observações sobre o uso de uma chave personalizada existente, consulte a seção Procedure.

Configurações avançadas

Ative a Rotação Automática de Chaves do TDE de uma das seguintes maneiras:

• Ao ative o TDE e selecione o uso de uma chave personalizada, ative a Automatic TDE Key Rotation na seção Advanced Settings da caixa de diálogo Configure TDE.

  Antes de ative este recurso, observe que há suporte para a rotação automática de chaves apenas para chaves personalizadas. O PolarDB não atualiza automaticamente a versão da chave; atualize-a manualmente no KMS. Após ative este recurso, o PolarDB rotaciona a chave do TDE e reinicia a instância durante a próxima janela de manutenção. Além disso, esteja ciente do seguinte ao ative o TDE: o processo leva cerca de 10 minutos e reinicia a instância. Execute a operação com uma conta root ou com uma conta com a permissão AliyunSTSAssumeRoleAccess. A instância fica indisponível se você desativar ou excluir a chave, ou se revogar a autorização e reiniciar a instância. O sistema oferece suporte apenas ao tipo de chave Aliyun_AES_256.

• Depois de ative o TDE com uma chave personalizada, ative a Automatic TDE Key Rotation na seção Advanced Settings na aba Configure TDE.

Perguntas frequentes

• Ainda posso usar ferramentas comuns de banco de dados, como o Navicat, após a ativação do TDE?

  Sim, é possível.

• Por que os dados aparecem em texto simples após a ativação da criptografia?

  Quando você consulta dados, o sistema os descriptografa e os lê na memória, motivo pelo qual eles aparecem em texto simples. O TDE criptografa os dados em repouso após a ativação.

APIs relacionadas