设置透明数据加密TDE - PolarDB MySQL 云原生数据库

透明数据加密TDE（Transparent Data Encryption）可对数据文件执行实时I/O加密和解密，数据在写入磁盘之前进行加密，从磁盘读入内存时进行解密。TDE不会增加数据文件的大小，开发人员无需更改任何应用程序，即可使用TDE功能。

前提条件

仅产品系列为集群版或单节点的PolarDB MySQL集群支持TDE，历史库不支持TDE。

集群版和单节点的PolarDB MySQL集群须满足如下版本要求：

加密使用的密钥由密钥管理服务（KMS）产生和管理，PolarDB不提供加密所需的密钥和证书。部分可用区不仅可以使用阿里云自动生成的密钥，也可以使用自带的密钥材料生成数据密钥，然后授权PolarDB使用。

TDE开通后无法关闭。
开通TDE后，如果是IO bound场景，可能会对数据库性能产生一定影响。
启用TDE加密会导致PolarDB集群重启，请谨慎操作。
已加入全球数据库网络的集群无法开启TDE功能，已开启TDE功能的集群也无法加入全球数据库网络。
使用已有自定义密钥时，需要注意：
- 禁用密钥、设置密钥删除计划或者删除密钥材料都会造成密钥不可用。
- 撤销授权关系后，重启PolarDB集群会导致PolarDB集群不可用。
- 需要使用主账号或者具有AliyunSTSAssumeRoleAccess权限的账号。

登录PolarDB控制台。
在控制台左上角，选择集群所在地域。
找到目标集群，单击集群ID。
在TDE配置页签，打开TDE状态开关。
在设置TDE对话框中，选择使用已有自定义密钥。

说明如果没有自定义密钥，需要单击前往创建，在密钥管理服务控制台创建密钥并导入自带的密钥材料。详情请参见管理密钥。
单击确定，开通TDE。

登录数据库，执行如下命令，对要加密的表进行加密。

alter table <tablename> encryption= 'Y';

如果您要对TDE加密的表解密，请执行如下命令。

alter table <tablename> encryption= 'N';