O recurso de banco de dados sempre confidencial criptografa colunas específicas na instância do ApsaraDB RDS for MySQL, como números de cartão de crédito e documentos de identificação nacional. Isso impede que operadores da plataforma em nuvem e outros usuários com altos privilégios leiam os valores em texto simples. As colunas criptografadas permanecem invisíveis para os usuários do banco de dados até a descriptografia por um cliente autorizado.
Pré-requisitos
Antes de começar, verifique se você tem:
Uma instância do ApsaraDB RDS for MySQL executando MySQL 5.7 ou MySQL 8.0 com versão secundária do mecanismo 20240731 ou posterior. Para atualize, consulte Atualize a versão secundária do mecanismo.
Uma conta privilegiada na instância. Todas as operações neste guia exigem uma conta privilegiada.
Faturamento
Este recurso é gratuito.
Limitações
Reinicialização da instância necessária: A ativação do recurso reinicia a instância RDS. Agende essa ação fora dos horários de pico.
Impacto no desempenho: A ativação do recurso causa um pequeno impacto no desempenho da instância. Configurar regras de proteção de dados e operar em colunas criptografadas pode reduzir ainda mais o desempenho.
Integração de driver necessária para cargas de escrita: Se a aplicação lê e grava dados, integre os drivers da Alibaba Cloud antes de gravar em colunas criptografadas. Sem os drivers, os dados criptografados são gravados no banco de dados como estão e tornam-se inoperantes.
Configuração prévia das regras de proteção de dados: O recurso criptografa colunas conforme as regras de proteção de dados. Configure as regras antes da ativação para evitar que o recurso fique ativo sem colunas protegidas. Para obter detalhes, consulte Gerencie regras de proteção de dados.
Ativação do TDE para proteção em nível de disco (recomendado): A criptografia transparente de dados (TDE) protege dados em repouso no disco e complementa a criptografia em nível de coluna. Para obter detalhes, consulte Configurar TDE.
Ative o recurso de banco de dados sempre confidencial
Caso não tenha uma instância elegível, crie uma. Consulte Crie uma instância do ApsaraDB RDS for MySQL para seguir as etapas de criação. Verifique os tipos de instância suportados em Tipos de instância para instâncias primárias padrão do ApsaraDB RDS for MySQL (arquitetura x86 original) ou Tipos de instância para instâncias primárias YiTian do ApsaraDB RDS for MySQL (arquitetura ARM original). Ignore esta etapa se a instância existente já atender aos pré-requisitos.
Crie uma conta privilegiada. Consulte Crie uma conta em uma instância do ApsaraDB RDS for MySQL.
Crie um banco de dados. Consulte Gerencie bancos de dados.
Faça login no console do ApsaraDB RDS. Na página Instances, selecione a região onde a instância está localizada e clique em no ID da instância.
-
Ative o recurso. No painel de navegação à esquerda, clique em em Parameters. Na aba Modifiable Parameters, defina
loose_encdbcomo ON. No canto superior direito, clique em em Apply Changes, selecione o horário de vigência e clique em em OK.AvisoEsta etapa reinicia a instância RDS. Execute-a fora dos horários de pico para minimizar o impacto.
Próximos passos
Após ativar o recurso, configure as regras de proteção de dados para especifique quais colunas criptografar. Consulte Gerencie regras de proteção de dados.
Para obter uma visão geral do recurso de banco de dados sempre confidencial, consulte Visão geral e Benefícios. Para proteger dados em repouso no disco juntamente com a criptografia em nível de coluna, consulte Configurar TDE.