Tair (Redis OSS-compatible) suporta criptografia de dados transparente (TDE), que criptografa e descriptografa arquivos de dados RDB. Ative o TDE no console para criptografar e descriptografar dados RDB automaticamente, reforçando a segurança dos dados e atendendo aos requisitos de conformidade.
Pré-requisitos
A instância deve ser do tipo Tair (Enterprise Edition) otimizada para memória.
-
A versão da instância deve estar dentro do intervalo compatível. Para instruções sobre como atualize a versão secundária, consulte Update the minor version of an instance.
Para uma instância clássica, a versão secundária deve ser 1.7.1 ou posterior.
Para uma instância cloud-native, a versão principal deve ser 6,0 ou posterior e a versão secundária deve ser 25.12.2.0 ou posterior.
Contexto
O recurso TDE do Tair (Redis OSS-compatible) criptografa os arquivos de dados RDB antes de gravá-los em disco e os descriptografa ao carregá-los na memória. Esse recurso não exige espaço de armazenamento adicional nem alterações nas aplicações cliente.
Impactos
Uma vez ativado, o TDE não pode ser desativado. Antes de ativar esse recurso, avalie os impactos a seguir nos seus serviços:
Cloud-native instances
A instância pode ser convertida em uma instância global multi-active.
Use o DTS para sincronização de dados completa e incremental.
É possível migrate the availability zone.
Offline full key analysis não é compatível.
Não é possível restaurar uma instância com TDE ativado a partir da lixeira.
Classic instances
Availability zone migration não é compatível.
Offline full key analysis não é compatível.
A conversão para uma instância global multi-active não é compatível.
A migração ou sincronização de dados via DTS não é compatível.
Observações
Não é possível controlar o TDE no nível de chave ou de banco de dados (DB).
O TDE criptografa arquivos de persistência de dados (arquivos de backup RDB), como dump.rdb.
Key Management Service (KMS) gera e gerencia as chaves usadas pelo TDE. O Tair (Redis OSS-compatible) não fornece as chaves nem os certificados necessários para a criptografia.
Não é possível restaurar uma instância com TDE ativado a partir da recycle bin.
Procedimento
Faça login no console e acesse a página Instances. Na barra de navegação superior, selecione a região em que a instância está implantada. Em seguida, localize a instância e clique em seu ID.
No painel de navegação à esquerda, clique em TDE Settings.
-
Ative o botão ao lado de TDE Status.
NotaSe a versão secundária da instância for anterior à versão exigida, o botão estará desabilitado. Para instruções sobre como visualize e atualize a versão secundária, consulte Update the minor version and proxy version of an instance.
-
Na caixa de diálogo exibida, selecione Use Auto-Generated Key ou Custom Key e, em seguida, clique em OK.
NotaNa primeira vez que você ativar o TDE, será necessário autorizar a função AliyunRdsInstanceEncryptionDefaultRole.
Para saber como crie uma chave personalizada, consulte Key Management Service (KMS).
Após configure as definições, o status da instância muda para Modifying TDE. A operação é concluída quando o status muda para Running.
Referência de API
|
API |
Descrição |
|
Ativa o TDE para uma instância. É possível usar uma chave gerada automaticamente ou uma chave personalizada. |
|
|
Verifica se o TDE está ativado para uma instância. |
|
|
Lista as chaves personalizadas disponíveis para o TDE. |
|
|
Recupera os detalhes de uma chave personalizada usada pelo TDE. |
|
|
Verifica se a instância está autorizada a usar o Key Management Service (KMS). |
Perguntas frequentes
-
P: Como descriptografar um arquivo de dados RDB criptografado que eu baixei?
R: Não é possível descriptografá-lo diretamente. Em vez disso, restaure o conjunto de backup em uma nova instância. Após a restauração, os dados são descriptografados automaticamente.
-
P: Por que os dados recuperados pelo meu cliente são exibidos em texto simples?
R: O TDE criptografa os dados apenas quando são gravados em disco como arquivos de backup RDB. As consultas do cliente leem os dados da memória, e os dados em memória não são criptografados. Por isso, os dados aparecem em texto simples.