ApsaraDB RDS:Backup encryption

Pré-requisitos

• O Percona XtraBackup deve estar instalado. Caso não esteja, consulte Percona XtraBackup 2.4 (para instâncias MySQL 5.7, 5.6 ou 5.5) ou Percona XtraBackup 8.0 (para instâncias MySQL 8.0).

• A ferramenta de descompactação qpress deve estar instalada. Caso não esteja, execute os seguintes comandos para instalá-la.

  wget "http://docs-aliyun.cn-hangzhou.oss.aliyun-inc.com/assets/attach/183466/cn_zh/1608011575185/qpress-11-linux-x64.tar"
  tar xvf qpress-11-linux-x64.tar
  chmod 775 qpress
  cp qpress /usr/bin

• O Python 3 é obrigatório.

Procedimento

1. Obtenha o texto cifrado e o algoritmo de criptografia do conjunto de backup.

   1. Acesse a página RDS Instances, selecione uma região na barra de navegação superior e clique no ID da instância de destino.

   2. No painel de navegação à esquerda, clique em Backup Recovery.

   3. Na página Backup Recovery, clique na aba Base Backups > Data Backup.

   4. Na coluna Action do conjunto de backup de destino, clique em > View Encryption Information para obter o Ciphertext e o Encryption Algorithm.

2. Chame a operação da API Decrypt. No parâmetro CiphertextBlob, passe o Ciphertext obtido em Step 1 para obter a string binária Plaintext codificada em Base64.

   {
     "KeyId": "xxx",
     "KeyVersionId": "xxx",
     "Plaintext": "S14dTb16i4Qo",
     "RequestId": "7474865d-f1fc-49c8-bf4d-7323de86ce59"
   }

3. Decodifique a string Plaintext em Base64 e converta os bytes resultantes em hexadecimal para obter a chave de descriptografia. Este exemplo usa um script Python 3 para isso.

   1. Execute vi decrypt.py na interface de linha de comando para abrir o editor vi.

   2. Pressione i para entrar no modo de inserção. Insira o conteúdo a seguir, pressione ESC e digite :wq para salvar o arquivo e sair.

      import base64
      import binascii
      plaintext = 'S14dTbl6i4Qo**********'  # Enter the Plaintext that you obtained in the preceding step between the single quotation marks ('').
      password = binascii.b2a_hex(base64.b64decode(plaintext))   # Obtain the decryption password and assign it to the password variable.
      print(str(password, 'utf-8'))   # Print the password as a string.
                    

   3. Execute o comando python decrypt.py. O comando exibe a chave de descriptografia. Veja um exemplo de chave:

      4b5e1d4db97a********************

4. Baixe os dados de backup criptografados e descriptografe-os.

   1. Download the backup data to a local machine.

   2. Execute o comando a seguir para criar um diretório, por exemplo, /home/mysql/data, e armazenar os dados de backup.

      mkdir /home/mysql/data

   3. Descompacte o pacote. Escolha o comando de descompactação de acordo com o sufixo do arquivo.

      Tipo de arquivo	Comando de descompactação
      Pacote tar (.tar.gz)	tar -izxvf test1.tar.gz -C /home/mysql/data
      Pacote xbstream (.xb.gz)	gzip -d -c test1.xb.gz | xbstream -x -v -C /home/mysql/data
      Pacote de arquivos xbstream (_qp.xb)	## Unpack the file first. cat test1_qp.xb | xbstream -x -v -C /home/mysql/data ## Then, decompress the file. ### For MySQL 5.6/5.7 innobackupex --decompress --remove-original /home/mysql/data ### For MySQL 8.0 xtrabackup --decompress --remove-original --target-dir=/home/mysql/data
      Pacote qpress xbstream (_xb.qp)	qpress -do test1_xb.qp | xbstream -x -v -C /home/mysql/data

      Após a descompactação, a maioria dos arquivos de dados terá o sufixo .xbcrypt, o que indica que estão criptografados.

      backup-my.cnf.xbcrypt        testdb
      dbfortest                     xtrabackup_binlog_info.xbcrypt
      ibdata1.xbcrypt               xtrabackup_checkpoints
      mysql                         xtrabackup_info.xbcrypt
      performance_schema            xtrabackup_logfile.xbcrypt
      rds_table_info_json_105244.log  xtrabackup_slave_filename_info.xbcrypt
      _recycle_bin_                 xtrabackup_slave_info.xbcrypt

   4. Execute o comando a seguir para descriptografar os dados.

      xtrabackup --decompress --remove-original --decrypt=AES256 --encrypt-key=4b5e1d4db97a******************** --target-dir=/home/mysql/data

      Nota

      Parâmetros principais:

      • decrypt: O Encryption Algorithm obtido em Step 1. Neste exemplo, o valor é AES256.

      • encrypt-key: A senha de descriptografia obtida em Step 3.

      • target-dir: O diretório onde os arquivos de backup estão armazenados.

      Após a execução do comando, o sufixo .xbcrypt é removido dos nomes dos arquivos, confirmando que os dados foram descriptografados.

      backup-my.cnf            testdb
      dbfortest                xtrabackup_binlog_info
      ibdata1                  xtrabackup_checkpoints
      mysql                    xtrabackup_info
      performance_schema       xtrabackup_logfile
      rds_table_info_json_105244.log  xtrabackup_slave_filename_info
      recycle_bin              xtrabackup_slave_info