ApsaraDB for MongoDB:Şeffaf Veri Şifrelemeyi (TDE) Yapılandırın

Ön Koşullar

• Örnek depolama türü ve mimarisi aşağıdaki gereksinimleri karşılamalıdır:

  • Yerel diskli örnekler: Çoğaltma kümesi ve parçalı kümeyi destekler; veritabanı sürümü 4,0 veya 4,2 olmalıdır.

  • Bulut diskli örnekler: Çoğaltma kümesini destekler; veritabanı sürümü 4,2 ile 8,3 arasında (tüm sürümler) olmalıdır.

• Örnek, WiredTiger depolama motorunu kullanır.

• Key Management Service (KMS) etkinleştirilmiş olmalıdır.

• Bulut diskli örneğin alt sürümü aşağıdakilerden daha eski olmamalıdır:

  Ana sürüm	Minimum alt sürüm
  4,2	4,0,36
  4,4	5,0,22
  5,0	6,0,23
  6,0	7,0,24
  7,0	8,0,16
  8,0	9,0,9
  8,3	9,3,1

  Önemli

  Örneğinizin alt sürümü gereken sürümden daha eskiyse TDE'yi etkinleştirmeden önce alt sürümü yükseltin. Daha fazla bilgi için bkz. Örnek yapılandırmalarını değiştirin.

Örneğiniz bu gereksinimleri karşılamıyorsa Örnek yapılandırmalarını değiştirin.

Etkiler

• TDE'yi etkinleştirmek örneği yeniden başlatır ve geçici bir bağlantı kesintisine neden olur. Bu işlemi yoğun olmayan saatlerde yapın ve uygulamanızın yeniden bağlantı mekanizması bulunduğundan emin olun.

• TDE CPU kullanımını artırır.

• Şifrelenmiş koleksiyonları fiziksel yedeklemeler kullanarak kendi kendine yönetilen bir veritabanına geri yükleyemezsiniz. Bunun yerine mantıksal yedekleme kullanın. Mantıksal yedekleme kullanarak verileri kendi kendine yönetilen bir veritabanına geri yükleme.

Dikkat Edilmesi Gerekenler

• TDE etkinleştirildikten sonra devre dışı bırakılamaz.

• Silinmiş ve TDE etkinleştirilmiş bir örneği Recycle Bin üzerinden geri yükleyemezsiniz.

• TDE örnek düzeyinde şifreleme uygular ve yalnızca koleksiyonlar için geçerlidir. Belirli alanları şifrelemek için Client-Side Field-Level Encryption (yalnızca MongoDB 4,2) kullanın.

  Not

  Belirli koleksiyonlar için şifrelemeyi atlamak üzere Bir koleksiyonu şifrelemenin dışında bırakma bölümüne bakın.

• TDE yalnızca etkinleştirmeden sonra oluşturulan yeni koleksiyonları şifreler. Mevcut koleksiyonlar şifrelenmemiş olarak kalır.

• Key Management Service (KMS), TDE anahtarlarını oluşturur ve yönetir. ApsaraDB for MongoDB şifreleme anahtarları veya sertifikaları sağlamaz. Key Management Service nedir?.

• TDE etkinleştirildikten sonra şifreleme anahtarı değiştirilemez. Farklı bir anahtar kullanmak için Data Transmission Service (DTS) kullanarak verileri yeni anahtarla yapılandırılmış yeni bir örneğe taşıyın. ApsaraDB for MongoDB örnekleri arasında veri taşıma.

• TDE tarafından kullanılan KMS anahtarının her zaman kullanılabilir olduğundan emin olun. Anahtar devre dışı bırakılırsa, silinirse veya süresi dolarsa örnek kilitlenir ve kullanılamaz hale gelir; mevcut yedeklemeler kurtarma için kullanılamaz.

Yordam

1. Replica Set Instances veya Sharded Cluster Instances sayfasına gidin. Üst gezinme çubuğunda bir kaynak grubu ve bölge seçin, ardından hedef örneğin kimliğine tıklayın.

2. Sol gezinme bölmesinde Data Security > TDE öğesine tıklayın.

3. TDE Status: yanındaki anahtarı açın.

4. Enable TDE iletişim kutusunda ihtiyaçlarınıza göre bir anahtar oluşturma yöntemi seçin.

   • Use Automatically Generated Key: Sistem otomatik olarak bir anahtar oluşturur.

   • Use Custom Key: Açılır listeden mevcut bir anahtar seçin. Kullanmak istediğiniz anahtar mevcut değilse öncelikle bir anahtar oluşturmanız gerekir. Talimatlar için bkz. Anahtar oluşturma.

5. OK düğmesine tıklayın.

   Örnek Updating TDE durumuna girer. Durum Running olarak değiştiğinde işlem tamamlanır.

Bir Koleksiyonu Şifrelemenin Dışında Bırakma

TDE etkinleştirildikten sonra tüm yeni koleksiyonlar varsayılan olarak şifrelenir. Şifrelenmemiş bir koleksiyon oluşturmak için oluşturma sırasında depolama motoru yapılandırmasını belirtin.

1. Mongo shell kullanarak veritabanına bağlanın: Çoğaltma kümesi örneğine bağlanma veya Parçalı küme örneğine bağlanma.

2. Şifrelenmemiş bir koleksiyon oluşturmak için aşağıdaki komutu çalıştırın.

   • Sözdizimi:

     db.createCollection("<collection_name>",{ storageEngine: { wiredTiger: { configString: "encryption=(name=none)" } } })

     Not

     Bu komutta collection_name koleksiyonun adıdır.

   • Örnek:

     db.createCollection("customer",{ storageEngine: { wiredTiger: { configString: "encryption=(name=none)" } } })

Mevcut Koleksiyonları Şifreleme

TDE etkinleştirilmeden önce var olan koleksiyonlar otomatik olarak şifrelenmez. Mevcut bir koleksiyonu ve dizinlerini şifreli depolamaya dönüştürmek için encryptExistingCollection komutunu çalıştırın.