ApsaraDB RDS:Disk encryption

Pré-requisitos e limitações

• Não é possível ativar manualmente a criptografia de disco para instâncias somente leitura ou instâncias Serverless do ApsaraDB RDS for SQL Server.

• Para ativar a criptografia de disco em uma instância primária do ApsaraDB RDS for SQL Server, aplicam-se os seguintes pré-requisitos:

  • O tipo de armazenamento é Enhanced SSD.

  • O tipo de instância é Dedicated, General-purpose ou Shared. Para tipos de instância compartilhada, você só pode ativar a criptografia de disco durante a criação da instância.

  • A instância primária não deve ter instâncias somente leitura anexadas. Caso existam instâncias somente leitura anexadas, libere-as primeiro liberando as instâncias somente leitura antes de ativar a criptografia de disco. Após ativar a criptografia, qualquer instância somente leitura criada a partir da instância primária também será criptografada por padrão.

• Após ativar a criptografia de disco, aplicam-se as seguintes limitações:

  • Uma vez ativada, não é possível desativar a criptografia de disco.

  • Limites de seleção de chave: Para tipos de instância compartilhada, use apenas a chave de serviço gerenciada pelo RDS (Default Service CMK). Para tipos de instância de uso geral e dedicada, é possível usar uma chave de serviço ou uma chave personalizada.

Faturamento

• A criptografia de disco está disponível sem custo adicional. Não há cobrança por operações de leitura e gravação em discos criptografados.

• As chaves para criptografia de disco são gerenciadas pelo KMS. O uso de chaves padrão, incluindo chaves de serviço e chaves mestras, é gratuito. Se você usar uma chave personalizada, como uma chave protegida por software ou hardware, você será cobrado pelo KMS.

Precauções

• Desconexões transitórias: Alterar uma chave ou ativar a criptografia de disco para uma instância existente causa uma desconexão transitória. A instância fica indisponível por aproximadamente 30 segundos para instâncias de alta disponibilidade (HA) e Cluster Edition, e por cerca de 5 minutos para instâncias Basic Edition. Recomendamos executar essas operações fora dos horários de pico e garantir que sua aplicação possua um mecanismo de reconexão automática.

• Pagamentos em atraso do KMS ou a desativação ou exclusão de uma chave podem afetar instâncias que utilizam criptografia de disco:

  • Impacto de pagamentos em atraso do KMS: Se você usar um tipo de chave paga, como uma chave protegida por software ou hardware, um pagamento em atraso do KMS pode impedir a descriptografia do disco. Isso torna toda a instância indisponível. Para evitar isso, mantenha seus pagamentos do KMS em dia.

  • Impacto da desativação ou exclusão de uma chave: Para chaves com ciclos de vida gerenciáveis, como chaves mestras e personalizadas, desativar ou excluir a chave bloqueará a instância RDS que a utiliza. A instância se torna inacessível. Todas as tarefas de operação e manutenção (O&M), como backups, alterações de configuração, reinicializações e failovers de HA, falharão.

• A chave de serviço gerenciada pelo RDS (Default Service CMK) usa a especificação Aliyun_AES_256, e o serviço de rotação de chaves fica desativado por padrão. Se precisar ativar o serviço de rotação de chaves, acesse o console do KMS para adquiri-lo e configurá-lo.

Ativar criptografia de disco

Ativar criptografia para uma nova instância

1. Ao criar uma instância do ApsaraDB RDS for SQL Server, defina o tipo de armazenamento como ESSD.

2. Selecione Disk Encryption e escolha uma chave.

   Nota

   • Para saber como criar uma chave personalizada, consulte Criar e ativar uma chave.

   • Ao criar uma instância, selecione a opção Disk Encryption antes de selecionar um tipo de instância.

     Se você estiver criando um tipo de instância compartilhada e quiser ativar a criptografia de disco, selecione Default Service CMK para a chave. Tipos de instância compartilhada só podem ser criptografados com o uso de uma chave de serviço.

Ativar criptografia para uma instância existente

1. Acesse a página Instances. Na barra de navegação superior, selecione a região da sua instância e, em seguida, clique no ID da instância.

2. No painel de navegação à esquerda, clique em Data Security.

3. Na guia Data Encryption, clique em Enable Cloud Disk Encryption.

4. Na caixa de diálogo exibida, selecione uma chave e clique em OK. O status da instância muda imediatamente para Configuration Changing.

5. Após um breve período, o status da instância retorna para Running. Na guia Data Encryption, o status de Data Disk Encryption muda para Encrypted, e visualize detalhes como Key Name, Key Type e Key Validity.

Visualizar o status da criptografia de disco e os detalhes da chave

1. Acesse a página Instances. Na barra de navegação superior, selecione a região onde a instância RDS está localizada. Em seguida, encontre a instância RDS e clique no ID da instância.

2. Na página Basic Information da instância, visualize a chave usada para a criptografia de disco.

   Nota

   • Se a página Basic Information não exibir uma chave, a criptografia de disco não foi ativada durante a criação da instância.

   • Visualize todas as chaves da sua conta no console do KMS.

     Na guia Key Management > Default Key, se Key Usage for Service Key, é uma chave gerenciada pela Alibaba Cloud.

Alterar a chave

É possível alterar a chave de uma instância do ApsaraDB RDS for SQL Server se a criptografia de disco estiver ativada e o tipo de instância for dedicated ou general-purpose. Não é possível alterar a chave de uma instância compartilhada, pois ela só pode usar uma chave de serviço.

1. Acesse a página Instances. Na barra de navegação superior, selecione a região da sua instância e, em seguida, clique no ID da instância.

2. No painel de navegação à esquerda, clique em Data Security.

3. Na guia Data Encryption, clique em Replace Key.

4. Na caixa de diálogo Change Encryption Key of Data Disk, selecione uma nova chave e clique em OK.

APIs relacionadas

• Ativar a criptografia de disco durante a criação da instância: CreateDBInstance.

• Ativar a criptografia de disco para uma instância existente: ModifyDBInstanceConfig.

• Consultar o status da criptografia de disco e os detalhes da chave de uma instância: DescribeDBInstanceEncryptionKey.