Tüm Ürünler
Search

Bu Ürün

    ApsaraDB RDS:Configure Transparent Data Encryption

    Belge Merkezi

    ApsaraDB RDS:Configure Transparent Data Encryption

    Son Güncelleme:Oct 09, 2026

    Güvenlik uyumluluğu sağlamak veya verileri depolama sırasında şifrelemek için Şeffaf Veri Şifreleme (TDE) özelliğini kullanın. TDE, veri dosyalarını gerçek zamanlı olarak şifreler ve şifresini çözer. Verileri veritabanı katmanında depolama sırasında şifreleyen TDE, saldırganların hassas bilgileri doğrudan depolama alanından okumasını engeller ve veri güvenliğini artırır.

    Arka Plan

    TDE'nin çalışma ilkeleri hakkında daha fazla bilgi için bkz. TDE şifreleme ve şifre çözme.

    Ön Koşullar

    • ApsaraDB RDS for PostgreSQL örneğiniz aşağıdaki gereksinimleri karşılamalıdır:

      • Ana motor sürümü PostgreSQL 10 veya üzeridir.

      • Depolama türü bulut disk olmalıdır.

      • Örneğin alt motor sürümü 20221030 veya üzeridir. Alt motor sürümünü görüntülemek ve güncellemek için bkz. Alt motor sürümünü güncelleme.

      • Örneğin salt okunur örnekleri varsa her bir salt okunur örnek de önceki gereksinimleri karşılamalıdır.

    • Bir Alibaba Cloud hesabı kullanarak ApsaraDB RDS'in Key Management Service (KMS) hizmetine erişmesine izin vermiş olmalısınız. Daha fazla bilgi için bkz. ApsaraDB RDS'in KMS'e erişmesine izin verme.

    • Key Management Service (KMS) etkinleştirilmiş olmalıdır. KMS etkinleştirilmemişse TDE'yi etkinleştirirken ekran talimatlarını izleyerek bu hizmeti etkinleştirebilirsiniz.

    Dikkat Edilmesi Gerekenler

    • Birincil örneğin ve buna bağlı salt okunur örneklerin alt motor sürümlerinin 20221030 veya üzeri olduğundan emin olun. Aksi takdirde TDE etkinleştirilemez.

    • TDE'nin etkinleştirilmesi G/Ç yoğunluğu yüksek (G/Ç sınırlı) senaryolarda veritabanı performansını etkileyebilir.

    • TDE etkinleştirilmiş örnekler fiziksel akış çoğaltması ile oluşturulan kullanıcı tarafından yönetilen bekleme örneklerini desteklemez.

    • TDE'yi etkinleştirdikten sonra devre dışı bırakamazsınız.

    • Key Management Service (KMS) hizmetinin kullanılabilir olduğundan emin olun. Aksi takdirde bulut disklerin şifresi çözülemez ve tüm örnek kullanılamaz hale gelir.

    • Mevcut bir müşteri anahtarı (CMK) kullanıyorsanız aşağıdaki hususlara dikkat edin:

      • KMS'de bir CMK'yi devre dışı bırakır veya silerseniz ApsaraDB RDS örneğiniz beklenen şekilde çalışmaz. Etkilenen işlemler arasında anlık görüntü oluşturma, anlık görüntüden geri yükleme ve bekleme örneği yeniden oluşturma yer alır.

      • Yetkilendirmeyi iptal edip ardından ApsaraDB RDS örneğini yeniden başlatırsanız örnek kullanılamaz hale gelir.

      • Bir Alibaba Cloud hesabı veya AliyunSTSAssumeRoleAccess izinlerine sahip bir hesap kullanmanız gerekir.

      Not

      Anahtar işlemleri hakkında daha fazla bilgi için bkz. Key Management Service.

    TDE'yi Etkinleştirme

    1. ApsaraDB RDS Instances sayfasına gidin, sayfanın üst kısmındaki bölgeyi seçin ve ardından hedef örneğin ID değerine tıklayın.

    2. Sol gezinme bölmesinde Data Security seçeneğine tıklayın.

    3. TDE sekmesinde Disabled durumunun yanındaki anahtarı açın.

    4. Bir anahtar türü seçin ve TDE'yi etkinleştirmek için OK düğmesine tıklayın.

      • Use an Automatically Generated Key: Bu yöntemde kullanılan anahtar şifreleme anahtarı (KEK) KMS'ten alınan bir hizmet anahtarıdır.

      • Use Existing Custom Key : Bu yöntemde kullanılan KEK KMS'e aktardığınız bir müşteri anahtarıdır (CMK). Bir CMK'niz yoksa create now. bağlantısına tıklayarak KMS konsolunda bir anahtar oluşturabilir ve anahtar malzemenizi içeri aktarabilirsiniz. Daha fazla bilgi için bkz. CMK oluşturma.

    Anahtar Değiştirme

    1. ApsaraDB RDS Instances sayfasına gidin, sayfanın üst kısmındaki bölgeyi seçin ve ardından hedef örneğin ID değerine tıklayın.

    2. Sol gezinme bölmesinde Data Security seçeneğine tıklayın.

    3. TDE sekmesinde TDE Status öğesinin sağ tarafında bulunan Replace Key düğmesine tıklayın.

    4. Use an Automatically Generated Key veya Use Existing Custom Key seçeneklerinden birini belirleyin, bir anahtar seçin ve ardından OK düğmesine tıklayın.

    Tabloları ve dizinleri şifreleme veya şifresini çözme

    TDE'yi örnek düzeyinde etkinleştirmek verileri otomatik olarak şifrelemez. Hangi tabloların ve dizinlerin şifreleneceğini veya şifresinin çözüleceğini ayrıca belirtmeniz gerekir.

    Not

    Performans yükünü en aza indirmek için uygun bir şifreleme kapsamı tanımlayın.

    Şifrele

    • Genel ayarlar

      ApsaraDB RDS konsolunda rds_default_table_encryption parametresini on olarak ayarlayabilirsiniz. Bu parametre etkinleştirildikten sonra yeni tablolar (CREATE TABLE) ve dizinler (CREATE INDEX) varsayılan olarak şifrelenir.

      Not

      • Bu parametre yalnızca ApsaraDB RDS for PostgreSQL 13, 14 ve 15 örnekleri için geçerlidir. Parametreleri değiştirmek için bkz. ApsaraDB RDS for PostgreSQL örneğinin parametrelerini değiştirme.

      • Bu parametreyi bulamıyorsanız alt motor sürümünü en son sürüme güncelleyin ve tekrar deneyin. Daha fazla bilgi için bkz. Alt motor sürümünü güncelleme.

      • rds_default_table_encryption parametresini on konumundan off konumuna değiştirmek yalnızca sonrasında oluşturulan tabloları ve dizinleri etkiler. Mevcut şifreli tablolar ve dizinler şifreli kalır.

    • Belirli tabloları ve dizinleri şifreleme

      • Tablo şifreleme.

        -- Create an encrypted table.
CREATE TABLE <tablename> WITH (encryption=on);

-- Encrypt an existing table.
ALTER TABLE <tablename> SET (encryption=on);

      • Dizin şifreleme.

        -- Create an encrypted index.
CREATE INDEX <indexname> ... WITH (encryption=on);

-- Encrypt an existing index.
ALTER INDEX <indexname> SET (encryption=on);
        Not

        TDE aşağıdaki dizin türleri için şifrelemeyi destekler: btree, hash, spgist, gin, gist ve brin.

    Şifresini Çöz

    Not

    Aşağıdaki ALTER deyimleri VACUUM FULL işlemine benzer şekilde bir tablo veya dizin yeniden yazma işlemi tetikler. Bu deyimleri iş yoğunluğunun yüksek olduğu saatlerde çalıştırmayın.

    • Şifrelenmiş bir tablonun şifresini çözme.

      ALTER TABLE <tablename> SET (encryption=off);

    • Şifrelenmiş bir dizinin şifresini çözme.

      ALTER INDEX <indexname> SET(encryption=off);

    Şifreleme Durumu

    SELECT relname, reloptions FROM pg_class WHERE relname IN ('<tablename>', '<indexname>');

    Sık Sorulan Sorular

    • TDE'yi etkinleştirdikten sonra pgAdmin gibi yaygın veritabanı araçlarını kullanmaya devam edebilir miyim?

      Evet.

    • TDE'yi etkinleştirdikten sonra verileri diğer ApsaraDB RDS örneklerine taşıyabilir miyim?

      Evet.

    • TDE'yi etkinleştirmeme rağmen sorguladığımda verilerim neden düz metin olarak görünüyor?

      Veriler düz metin olarak görünür çünkü veritabanı bir sorgu çalıştırdığınızda verilerin şifresini bellekte çözer. TDE depolama sırasında verileri korur; böylece depolama ortamından veya şifreli kalan yedekleme dosyalarından kaynaklanan veri sızıntılarını önler.

    İlgili Belgeler

    • Anahtar işlemleri hakkında daha fazla bilgi için bkz. Key Management Service.

    • Genel şifreleme için rds_default_table_encryption parametresini ayarlama hakkında bilgi için bkz. ApsaraDB RDS for PostgreSQL örneğinin parametrelerini değiştirme.

    • ApsaraDB RDS for PostgreSQL tabloların, dizinlerin ve diğer veritabanı nesnelerinin toplu iş olarak şifrelenmesi ve şifresinin çözülmesi için rds_tde_utils uzantısını sunar.

    • Erişim bağlantıları için SSL'yi etkinleştirme hakkında bilgi için bkz. SSL şifreleme.

    • Bir tablodaki belirli hassas veri sütunlarını şifrelemek için genel önizlemede olan Her Zaman Gizli Veritabanı özelliğini kullanın. Bu özellik hassas verilerin şifreli metin olarak iletilmesini, işlenmesini ve depolanmasını sağlar.

    • TDE'yi bir API işlemiyle de etkinleştirebilirsiniz.


      API


      Açıklama


      ModifyDBInstanceTDE


      Bir ApsaraDB RDS for PostgreSQL örneği için TDE'yi etkinleştirir.