Todos os produtos
Search

Este produto

    ApsaraDB RDS:Configure Transparent Data Encryption

    Central de documentação

    ApsaraDB RDS:Configure Transparent Data Encryption

    Última atualização: Oct 10, 2026

    Para conformidade de segurança ou para criptografar dados em repouso, use o recurso Transparent Data Encryption (TDE). O TDE criptografa e descriptografa arquivos de dados em tempo real. Ao criptografar dados em repouso na camada do banco de dados, o TDE impede que invasores leiam informações confidenciais diretamente do armazenamento e melhora a segurança dos dados.

    Contexto

    Para obter mais informações sobre os princípios do TDE, consulte Criptografia e descriptografia do TDE.

    Pré-requisitos

    • Sua instância ApsaraDB RDS for PostgreSQL deve atender aos seguintes requisitos:

      • A versão principal do mecanismo é PostgreSQL 10 ou posterior.

      • O tipo de armazenamento é disco em nuvem.

      • A versão secundária do mecanismo da instância é 20221030 ou posterior. Para visualizar e atualizar a versão secundária do mecanismo, consulte Atualizar a versão secundária do mecanismo.

      • Se a instância possui instâncias somente leitura, cada instância somente leitura também deve atender aos requisitos anteriores.

    • Você usou uma conta Alibaba Cloud para autorizar o ApsaraDB RDS a acessar o Key Management Service (KMS). Para obter mais informações, consulte Autorizar o ApsaraDB RDS a acessar o KMS.

    • O Key Management Service (KMS) está ativado. Se o KMS não estiver ativado, você pode seguir as instruções na tela para ativá-lo ao ativar o TDE.

    Precauções

    • Certifique-se de que as versões secundárias do mecanismo da instância primária e de suas instâncias somente leitura sejam 20221030 ou posteriores. Caso contrário, a ativação do TDE falhará.

    • A ativação do TDE pode afetar o desempenho do banco de dados em cenários com uso intensivo de I/O (I/O-bound).

    • Instâncias com TDE ativado não suportam instâncias standby autogerenciadas criadas com replicação streaming física.

    • Não é possível desativar o TDE após ativá-lo.

    • Certifique-se de que o Key Management Service (KMS) esteja disponível. Caso contrário, os discos em nuvem não poderão ser descriptografados e toda a instância ficará indisponível.

    • Se você usar uma customer master key (CMK) existente, observe o seguinte:

      • Se você desativar ou excluir uma CMK no KMS, sua instância ApsaraDB RDS não funcionará conforme o esperado. As operações afetadas incluem a criação de snapshot, a restauração a partir de um snapshot e a reconstrução de uma instância standby.

      • Se você revogar a autorização e reiniciar a instância ApsaraDB RDS, a instância ficará indisponível.

      • Você deve usar uma conta Alibaba Cloud ou uma conta com as permissões AliyunSTSAssumeRoleAccess.

      Nota

      Para obter mais informações sobre operações de chave, consulte Key Management Service.

    Ativar TDE

    1. Acesse a página ApsaraDB RDS Instances, selecione a região na parte superior da página e clique no ID da instância desejada.

    2. No painel de navegação à esquerda, clique em Data Security.

    3. Na aba TDE, ative o botão ao lado do status Disabled.

    4. Selecione um tipo de chave e clique em OK para ativar o TDE.

      • Use an Automatically Generated Key: a chave de criptografia de chave (KEK) usada neste método é uma chave de serviço do KMS.

      • Use Existing Custom Key : a KEK usada neste método é uma customer master key (CMK) que você importa para o KMS. Se você não tiver uma CMK, clique em create now. para criar uma chave e importar seu material de chave no console do KMS. Para obter mais informações, consulte Criar uma CMK.

    Substituir uma chave

    1. Acesse a página ApsaraDB RDS Instances, selecione a região na parte superior da página e clique no ID da instância desejada.

    2. No painel de navegação à esquerda, clique em Data Security.

    3. Na aba TDE, clique em Replace Key à direita de TDE Status.

    4. Selecione Use an Automatically Generated Key ou Use Existing Custom Key , selecione uma chave e clique em OK.

    Criptografar ou descriptografar tabelas e índices

    Ativar o TDE no nível da instância não criptografa os dados automaticamente. Você também deve especificar quais tabelas e índices criptografar ou descriptografar.

    Nota

    Defina um escopo de criptografia adequado para minimizar a sobrecarga de desempenho.

    Criptografar

    • Configurações globais

      No console do ApsaraDB RDS, você pode definir o parâmetro rds_default_table_encryption como on. Após ativar esse parâmetro, novas tabelas (CREATE TABLE) e índices (CREATE INDEX) são criptografados por padrão.

      Nota

      • Esse parâmetro se aplica apenas a instâncias ApsaraDB RDS for PostgreSQL 13, 14 e 15. Para modificar parâmetros, consulte Modificar os parâmetros de uma instância ApsaraDB RDS for PostgreSQL.

      • Se você não encontrar esse parâmetro, atualize a versão secundária do mecanismo para a versão mais recente e tente novamente. Para obter mais informações, consulte Atualizar a versão secundária do mecanismo.

      • Alterar o parâmetro rds_default_table_encryption de on para off afeta apenas tabelas e índices criados posteriormente. As tabelas e índices já criptografados permanecem criptografados.

    • Criptografar tabelas e índices específicos

      • Criptografar uma tabela.

        -- Create an encrypted table.
CREATE TABLE <tablename> WITH (encryption=on);

-- Encrypt an existing table.
ALTER TABLE <tablename> SET (encryption=on);

      • Criptografar um índice.

        -- Create an encrypted index.
CREATE INDEX <indexname> ... WITH (encryption=on);

-- Encrypt an existing index.
ALTER INDEX <indexname> SET (encryption=on);
        Nota

        O TDE suporta criptografia para os seguintes tipos de índice: btree, hash, spgist, gin, gist e brin.

    Descriptografar

    Nota

    As instruções ALTER a seguir acionam uma reescrita de tabela ou índice, semelhante ao VACUUM FULL. Não execute essas instruções durante os horários de pico.

    • Descriptografar uma tabela criptografada.

      ALTER TABLE <tablename> SET (encryption=off);

    • Descriptografar um índice criptografado.

      ALTER INDEX <indexname> SET(encryption=off);

    Status da criptografia

    SELECT relname, reloptions FROM pg_class WHERE relname IN ('<tablename>', '<indexname>');

    Perguntas frequentes

    • Posso continuar usando ferramentas comuns de banco de dados, como o pgAdmin, após ativar o TDE?

      Sim.

    • Posso continuar migrando dados para outras instâncias ApsaraDB RDS após ativar o TDE?

      Sim.

    • Por que meus dados aparecem em texto simples ao serem consultados, mesmo após ativar o TDE?

      Os dados aparecem em texto simples porque o banco de dados os descriptografa na memória ao executar uma consulta. O TDE protege os dados em repouso, evitando vazamentos de dados de mídias de armazenamento ou arquivos de backup comprometidos, que permanecem criptografados.

    Documentos relacionados

    • Para obter mais informações sobre operações de chave, consulte Key Management Service.

    • Para definir o parâmetro rds_default_table_encryption para criptografia global, consulte Modificar os parâmetros de uma instância ApsaraDB RDS for PostgreSQL.

    • O ApsaraDB RDS for PostgreSQL fornece a extensão rds_tde_utils para criptografia e descriptografia em lote de tabelas, índices e outros objetos de banco de dados.

    • Para ativar o SSL nos links de acesso, consulte Criptografia SSL.

    • Para criptografar colunas específicas de dados confidenciais em uma tabela, use o recurso Banco de dados sempre confidencial, que está em preview público. Esse recurso garante que os dados confidenciais sejam transmitidos, computados e armazenados em texto cifrado.

    • Você também pode ativar o TDE com uma operação de API.

      API

      Descrição

      ModifyDBInstanceTDE

      Ativa o TDE para uma instância ApsaraDB RDS for PostgreSQL.