全部产品
Search
文档中心

云数据库 RDS:数据安全最佳实践

更新时间:Oct 11, 2023

针对用户重点关注的数据安全,RDS MySQL自身提供了基础的安全保障,您还可以参见本文内容进行实例的创建和设置,进一步提高数据安全级别。

实例容灾

  • 三节点企业系列(原金融版)实例

    为进一步满足业务场景中高可靠性和数据安全需求,RDS提供三节点企业系列实例,采用一主两备的三节点架构,通过多副本同步复制,确保数据的强一致性,提供金融级的可靠性。

    您可以在创建实例时选择三节点企业系列,详情请参见快速创建RDS MySQL实例

  • 多可用区

    RDS每个地域都包含多个可用区。同一个地域中的可用区都被设计为相互之间网络延迟很小(3ms以内)以及故障隔离的单元。多可用区实例将物理服务器部署在不同的可用区,当可用区A出现故障时流量可以在短时间内切换到另一个可用区B。整个切换过程对用户透明,应用代码无需变更。

    您可以在创建实例时选择多可用区,详情请参见快速创建RDS MySQL实例

    已创建的实例如果是单可用区,可以迁移至多可用区(需要当前有多可用区资源)。

  • 跨地域灾备实例

    RDS通过数据传输服务DTS(Data Transmission Service)实现主实例和异地灾备实例之间的实时同步。主实例和灾备实例均搭建主备高可用架构,当主实例发生突发性自然灾害等状况,主节点(Master)和备节点(Slave)均无法连接时,您可以将异地灾备实例切换为主实例,在应用端修改数据库连接地址后,即可快速恢复应用的业务访问。

    操作详情请参见创建异地灾备实例

  • 跨地域备份

    RDS提供跨地域备份功能,可以自动将本地备份文件复制到另一个地域的OSS上,跨地域的数据备份可以用于监管和容灾恢复。跨地域备份独立于实例,实例释放后仍会按照您设置的保留时间进行保留。

    操作详情请参见跨地域备份

权限控制

  • RAM用户授权

    使用访问控制RAM(Resource Access Management),您可以创建、管理RAM用户,控制RAM用户对您名下资源的操作权限。当您的企业存在多用户协同操作资源时,使用RAM可以按需为用户分配最小权限,避免与其他用户共享云账号密钥,降低企业的信息安全风险。

    操作详情请参见RAM资源授权

  • 禁止创建磁盘未加密的RDS实例

    通过为RAM用户配置RAM权限策略,防止该用户创建磁盘没有加密的RDS实例。

    操作详情请参见通过RAM权限策略限制RAM用户权限

  • 数据库账号授权

    RDS可以根据生产环境的业务需求,授权数据库账号管理数据库。

    您可以直接在控制台创建账号并授权管理某些数据库,详情请参见创建数据库和账号

    如果您只需要账号管理数据库中的某个表,可以通过SQL命令进行授权,详情请参见限制账号只能访问指定表、视图、字段

网络隔离

  • 专有网络

    RDS支持多种网络类型,推荐使用专有网络

    专有网络是一种隔离的网络环境,安全性和性能均高于传统的经典网络。专有网络需要事先创建,详情请参见创建专有网络

    当RDS实例为经典网络时,您可以将实例的网络类型切换至专有网络,详情请参见更改网络类型。如果您的RDS实例已经是专有网络,则无需配置。

  • 白名单

    创建RDS实例后,您需要设置RDS实例的白名单,以允许外部设备访问该RDS实例。

    操作详情请参见通过客户端、命令行连接RDS MySQL实例

日志审计

  • SQL洞察

    RDS提供SQL洞察功能,为您的数据库提供安全审计、性能诊断等增值服务。

    操作详情请参见SQL洞察

  • 日志管理

    您可以在控制台的日志管理页面查询实例的错误日志、慢日志明细和慢日志统计,帮助您定位故障。

    操作详情请参见查看错误日志和慢日志

  • 历史事件

    开启历史事件功能后您可以查看用户和阿里云的运维操作日志,例如在某个时间创建了实例、修改了参数。

    操作详情请参见历史事件

数据加密

  • SSL加密

    在通过公网连接数据库时,您可以启用SSL(Secure Sockets Layer)加密,并安装SSL CA证书到需要的应用服务。SSL在传输层对网络连接进行加密,能提升通信数据的安全性和完整性,但会同时增加网络连接响应时间。

    操作详情请参见设置SSL加密

  • 透明数据加密

    透明数据加密TDE(Transparent Data Encryption)可对数据文件执行实时I/O加密和解密,数据在写入磁盘之前进行加密,从磁盘读入内存时进行解密。TDE不会增加数据文件的大小,开发人员无需更改任何应用程序,即可使用TDE功能。

    操作详情请参见设置透明数据加密TDE