Todos os produtos
Search

Este produto

    ApsaraDB RDS:Cloud disk encryption

    Central de documentação

    ApsaraDB RDS:Cloud disk encryption

    Última atualização: Oct 14, 2026

    O ApsaraDB RDS for PostgreSQL oferece criptografia gratuita de disco em nuvem para proteger dados em repouso.

    Informações básicas

    Este recurso é gratuito. Não há cobrança por operações de leitura ou gravação em discos criptografados.

    Pré-requisitos

    • Sua instância do ApsaraDB RDS for PostgreSQL deve atender aos seguintes requisitos:

      • Edição: RDS Basic Edition, RDS High-availability Edition ou RDS Cluster Edition

      • Tipo de armazenamento: Enterprise SSD (ESSD) ou Premium ESSD

      Nota

      Instâncias Serverless não são suportadas.

    • O Key Management Service (KMS) está ativado. Para mais informações, consulte Purchase and enable a KMS instance.

    Observações de uso

    • A criptografia de disco em nuvem não afeta seus negócios nem exige modificações na aplicação.

    • Ao ativar a criptografia de disco em nuvem, os snapshots da instância e as novas instâncias baseadas em disco em nuvem criadas a partir deles herdam automaticamente o atributo de criptografia.

    • Se sua conta do Key Management Service (KMS) tiver pagamentos pendentes, os discos em nuvem não poderão ser descriptografados, tornando toda a instância indisponível. Mantenha sua conta do KMS regularizada.

    • Se você desativar ou excluir uma chave do KMS, a instância do ApsaraDB RDS que utiliza essa chave apresentará mau funcionamento e será bloqueada. Todas as operações de O&M, como backup da instância, alteração de configurações, clonagem, reinicialização, failover de alta disponibilidade e modificação de parâmetros, falharão. Para evitar esse problema, use a chave de service gerenciada pelo ApsaraDB RDS (Default Service CMK).

    • Para instâncias de uso geral, ative a criptografia de disco em nuvem apenas com a chave de service gerenciada pelo ApsaraDB RDS (Default Service CMK). Instâncias com especificações dedicadas suportam tanto a chave de service gerenciada pelo ApsaraDB RDS (Default Service CMK) quanto chaves mestras de cliente (CMKs). Para mais informações, consulte [[Product/Function Change] Changes to Creating Cloud Disk Encrypted Instances for ApsaraDB RDS Effective January 15, 2024](t2569585.xdita#).

    • Na página Data Security > Data Encryption, ativar, substituir ou desativar a criptografia de disco em nuvem reinicia a instância e causa uma desconexão transitória. Certifique-se de que sua aplicação tenha um mecanismo de reconexão automática.

    Ativar criptografia de disco em nuvem

    Ativar durante a criação da instância

    Ao criar uma instância do ApsaraDB RDS for PostgreSQL que atenda aos prerequisites, marque a caixa de seleção Disk Encryption ao lado de Storage Type e selecione uma Key. Por padrão, a chave de service gerenciada pelo ApsaraDB RDS (Default Service CMK) já vem selecionada. Recomendamos esta opção.

    Para mais detalhes sobre como criar uma instância do ApsaraDB RDS for PostgreSQL, consulte Create an ApsaraDB RDS for PostgreSQL instance.

    Ativar para instâncias existentes

    1. Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.

    2. No painel de navegação à esquerda, clique em Data Security.

    3. Na aba Data Encryption, clique em Enable Encryption.

    4. Na caixa de diálogo exibida, selecione a chave desejada e clique em OK.

      Recomendamos o uso da Default Service CMK, a chave de service gerenciada pelo ApsaraDB RDS.

      O status da instância muda durante a criptografia. Quando o status retornar para Running, a criptografia de disco em nuvem estará ativada.

    Nota

    • Visualize a chave usada para criptografia de disco em nuvem na página Basic Information e na página Data Security > Data Encryption da sua instância do ApsaraDB RDS for PostgreSQL.

    • Visualize todas as chaves da sua conta no console do KMS. Na aba Keys > Default Key, as chaves gerenciadas por services da Alibaba Cloud aparecem como Service Key na coluna Key Usage. O alias da chave gerenciada pelo ApsaraDB RDS é alias/acs/rds. Se você não encontrar essa chave, nenhuma chave de service foi criada na região atual. Ao ativar a criptografia de disco em nuvem no console do ApsaraDB RDS for PostgreSQL e selecionar a chave de service (Default Service CMK), o sistema cria uma automaticamente.

    • A chave de service gerenciada pelo ApsaraDB RDS (Default Service CMK) possui a especificação Aliyun_AES_256. A rotação de chaves vem desativada por padrão. Caso precise ativar a rotação de chaves, adquira o recurso no console do KMS. Para mais informações, consulte Key rotation.

    Substituir a chave de criptografia

    1. Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.

    2. No painel de navegação à esquerda, clique em Data Security.

    3. Na aba Data Encryption, clique em Replace Key.

    4. Na caixa de diálogo exibida, selecione uma nova chave e clique em OK.

    Desativar a criptografia de disco em nuvem

    1. Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, localize a instância RDS e clique no ID da instância.

    2. No painel de navegação à esquerda, clique em Data Security.

    3. Na aba Data Encryption, clique em Replace Key.

    4. Na caixa de diálogo exibida, selecione Disable Key e clique em OK.

    APIs relacionadas

    Chame a operação de API ModifyDBInstanceConfig para ativar, substituir ou desativar a criptografia de disco em nuvem de uma instância de destino.