Güvenlik uyumluluğu veya durgun verilerin şifrelenmesi gereksinimleri için, veri dosyalarını gerçek zamanlı olarak şifrelemek ve şifresini çözmek üzere Şeffaf Veri Şifreleme (TDE) özelliğini kullanın. TDE, verileri veritabanı katmanında şifreleyerek potansiyel saldırganların veritabanını atlayıp depolama alanından hassas bilgileri doğrudan okumasını engeller. Bu sayede hassas verilerinizin güvenliği önemli ölçüde artırılır.
Genel bilgiler
Giriş: TDE'yi etkinleştirdikten sonra veriler diske yazılmadan önce şifrelenir ve belleğe okunduğunda şifresi çözülür. Kimliği doğrulanmış uygulamalar ve kullanıcılar, uygulama verilerine şeffaf bir şekilde erişmeye devam edebilir (uygulama kodunda veya yapılandırmalarında değişiklik yapılması gerekmez). Bu durum, yetkisiz kullanıcıların tablespace dosyalarındaki, disklerdeki veya yedeklemelerdeki düz metin verilere erişmesini engeller.
Anahtarlar: TDE için kullanılan anahtarlar Key Management Service (KMS) tarafından oluşturulur ve yönetilir. ApsaraDB RDS, şifreleme için gereken anahtarları veya sertifikaları sağlamaz. Alibaba Cloud tarafından otomatik olarak oluşturulan bir anahtarı kullanabilir veya kendi müşteri anahtarlarınızı (CMK) kullanabilir ve bunları kullanması için ApsaraDB RDS'e yetki verebilirsiniz.
Şifreleme algoritmaları: Kullanılan şifreleme algoritması, veritabanı altyapısı sürümüne bağlıdır. Aşağıdaki tabloda şifreleme algoritmaları açıklanmaktadır.
|
Veritabanı altyapısı sürümü |
Desteklenen şifreleme algoritmaları |
Algoritma değişikliği |
|
MySQL 5,6 |
|
Şifreleme algoritmasını değiştiremezsiniz. |
|
MySQL 5,7 ve 8,0 |
|
|
innodb_encrypt_algorithm parametresini değiştirmek yüksek riskli bir işlemdir. Bu işlem, şifreli tablolar ve günlükler gibi örnek içindeki tüm şifreli verilerin şifreleme ve şifre çözme algoritmasını etkiler. Bu parametrenin değeri verilerin şifreleme algoritmasından farklı olursa verilerin şifresi çözülemez. innodb_encrypt_algorithm parametresi konsolda görüntülenmez. Bu parametreyi değiştirmek için bir destek talebi oluşturun.
Ön koşullar
-
TDE özelliğini kullanmak için ApsaraDB RDS örneğinizin aşağıdaki gereksinimleri karşılaması gerekir:
Veritabanı altyapısı sürümü: Küçük altyapı sürümü 20191015 veya üzeri olan MySQL 8,0, 5,7 veya 5,6.
Sürüm: Yüksek Kullanılabilirlik Sürümü veya Küme Sürümü.
Key Management Service (KMS) etkinleştirilmiş olmalıdır. Değilse, TDE'yi etkinleştirirken ekrandaki talimatları izleyerek hizmeti etkinleştirin.
Alibaba Cloud hesabınızı kullanarak ApsaraDB RDS'in Key Management Service (KMS) hizmetine erişmesine izin verin.
Dikkat edilmesi gerekenler
TDE etkinleştirildikten sonra devre dışı bırakılamaz, anahtar değiştirilemez ve CPU kullanımı önemli ölçüde artar.
Örnek geçişi: TDE'yi etkinleştirdiğinizde ApsaraDB RDS örneğiniz yeniden başlatılır ve bir örnek geçişi gerçekleşir. Örnek yaklaşık 15 saniye boyunca kullanılamaz durumda olur. Bu işlemi yoğun olmayan saatlerde gerçekleştirin ve uygulamanızın otomatik yeniden bağlantıyı desteklediğinden emin olun.
Kod değişikliği gerekmez: TDE'yi etkinleştirmek veri dosyası boyutunu artırmaz ve uygulama kodunuzda veya yapılandırmalarınızda değişiklik yapılmasını gerektirmez.
-
EN_EDIT: Updated to differentiate cross-region backup/restore support between cloud disk and local disk instances, and added link to cross-region backup doc (nodeId: 328067)
Bölge dışı yedekleme ve geri yükleme: TDE etkinleştirildikten sonra bölge dışı yedekleme ve geri yükleme desteği depolama türüne göre değişir:
Cloud disk örnekleri: Hem bölge dışı yedeklemeyi hem de bölge dışı geri yüklemeyi destekler.
Local disk örnekleri: Yalnızca bölge dışı yedeklemeyi destekler. Bölge dışı geri yükleme desteklenmez.
Bölge dışı yedekleme hakkında daha fazla bilgi için bkz. Bölge dışı yedekleme. Verileri yerel bir makineye geri yüklemek için öncelikle verilerin şifresini çözmeniz gerekir.
Yapılandırma değişikliği sınırlamaları: TDE etkinleştirildikten sonra örnek sürümünü Yüksek Kullanılabilirlik Sürümünden Küme Sürümüne değiştiremezsiniz.
-
CMK sınırlamaları: Mevcut bir CMK kullanıyorsanız aşağıdaki hususlara dikkat edin:
Yalnızca simetrik anahtarları kullanabilirsiniz. Asimetrik anahtarlar desteklenmez.
KMS örneği süresi dolduğu veya silindiği, anahtar devre dışı bırakıldığı, anahtar için silme işlemi planlandığı veya anahtar materyali silindiği için kullanılamaz duruma gelirse anahtar da kullanılamaz hale gelir. Bu durumlarda ApsaraDB RDS örnek verileri geri yüklenemez.
Yetkilendirmeyi iptal edip ardından ApsaraDB RDS örneğini yeniden başlatırsanız örnek kullanılamaz duruma gelir.
Küçük altyapı sürümü yükseltmesi: Örneğinizin kararlılığını sağlamak için, ana örneğin ve varsa salt okunur örneklerinin küçük altyapı sürümünü en son sürüme yükseltmenizi öneririz.
TDE'yi Etkinleştirme
TDE'yi Alibaba Cloud tarafından otomatik olarak oluşturulan bir anahtar kullanarak veya kendi CMK'nızı kullanıp ApsaraDB RDS'in bu anahtarı kullanmasına yetki vererek etkinleştirebilirsiniz. TDE'yi etkinleştirmek için bir Alibaba Cloud hesabı veya AliyunSTSAssumeRoleAccess iznine sahip bir hesap kullanmanız gerekir.
Instances sayfasına gidin. Üst gezinme çubuğunda RDS örneğinin bulunduğu bölgeyi seçin. Ardından RDS örneğini bulun ve örnek kimliğine tıklayın.
Sol gezinme bölmesinde Data Security seçeneğine tıklayın. Ardından TDE sekmesine tıklayın.
-
Bir anahtar türü seçin.
Use an Automatically Generated Key: Bu seçenek KMS'den bir hizmet anahtarı kullanır.
-
Use Existing Custom Key : Mevcut bir CMK seçin. Yalnızca simetrik anahtarlar desteklenir.
NotKullanılabilir bir anahtar yoksa create now. seçeneğine tıklayarak KMS konsoluna gidin ve bir anahtar oluşturun ve kendi anahtar materyalinizi içeri aktarın. Anahtarı oluştururken Key Type parametresi için Symmetric Key değerini seçin.
TDE'yi etkinleştirmek için OK seçeneğine tıklayın.
Verileri şifreleme ve şifresini çözme
Verileri şifreleme
Veritabanında oturum açın ve bir tabloyu şifrelemek için aşağıdaki komutu çalıştırın.
TDE'yi etkinleştirdikten sonra mevcut tablolar otomatik olarak şifrelenmez. Mevcut tabloları aşağıdaki komutları çalıştırarak manuel olarak şifrelemeniz gerekir.
-
MySQL 5,6:
ALTER TABLE <tablename> engine=innodb,block_format=encrypted; -
MySQL 5,7 veya 8,0:
ALTER TABLE <tablename> encryption='Y';
Verilerin şifresini çözme
Veritabanında oturum açın ve bir tablonun şifresini çözmek için uygun komutu çalıştırın.
-
MySQL 5,6:
ALTER TABLE <tablename> engine=innodb,block_format=default; -
MySQL 5,7 veya 8,0:
ALTER TABLE <tablename> encryption='N';
SSS
-
S1: TDE'yi etkinleştirdikten sonra Navicat gibi yaygın veritabanı araçlarını kullanmaya devam edebilir miyim?
C: Evet, edebilirsiniz. TDE, kimliği doğrulanmış bağlantılar için şeffaftır. Navicat gibi veritabanı araçları yetkili kullanıcılar olarak bağlanır. Bu nedenle, verilere erişildiğinde bellekteki verilerin şifresi otomatik olarak çözülür. İstemci araçlarınızda değişiklik yapılması gerekmez.
-
S2: TDE'yi etkinleştirdikten sonra verileri diğer ApsaraDB RDS örneklerine taşımaya devam edebilir miyim?
C: Evet, edebilirsiniz. Veri taşıma araçları, kaynak veritabanına kimliği doğrulanmış bir kullanıcı olarak bağlanır ve veritabanı altyapısı verilerin şifresini şeffaf bir şekilde çözdükten sonra verileri okur. Taşıma işlemi, şifrelenmemiş bir örnekle aynıdır.
-
S3: Şifreli bir tabloyu sorguladığımda veriler neden düz metin olarak görüntüleniyor?
C: Bu, TDE'nin beklenen davranışıdır. TDE, kullanım halindeki verileri (bellekteki veriler) değil, durgun verileri (diskteki veriler) korur. Yetkili bir kullanıcı şifreli bir tabloyu sorguladığında veritabanı altyapısı, sonuçları döndürmeden önce verilerin bellekteki şifresini çözer. Diskteki veri dosyaları ve tüm yedeklemeler şifreli kalır. Bu durum, yetkisiz bir tarafın fiziksel depolama alanına veya yedekleme dosyalarına erişmesi durumunda hassas bilgilere yetkisiz erişimi engeller. Yedeklemeler şifrelidir ve yerel bir ortamda doğrudan geri yüklenemez. Verileri yerel bir makineye geri yüklemek için öncelikle kaynak veritabanındaki verilerin şifresini çözmeniz gerekir.
Başvuru kaynakları
Farklı veritabanı şifreleme teknolojilerinin karşılaştırması için bkz. Veritabanı şifreleme teknolojilerinin karşılaştırılması.
Aktarım halindeki verileri şifrelemek için SSL şifrelemesini etkinleştirebilirsiniz. Daha fazla bilgi için bkz. SSL şifrelemesini etkinleştirmek için cloud sertifikası kullanma.
Anahtarla ilgili işlemler hakkında daha fazla bilgi için bkz. Key Management Service.
API başvurusu
|
|
|
|
|