设置透明数据加密TDE

注意事项

• 如果是IO bound场景，开通TDE后，可能会对数据库性能产生一定影响。

• 已加入全球数据库网络（GDN）的集群支持开启TDE功能。GDN中的主集群开启TDE功能后，GDN中的从集群会默认同步开启该功能，且从集群使用的密钥及密钥所在地域与主集群相同，密钥所在地域不支持修改。

• 暂不支持单独为GDN中的从集群开启TDE功能。

• Serverless集群MySQL 8.0.2版本（企业版及标准版）不支持开启TDE功能。

操作步骤

1. 登录PolarDB控制台。

2. 在左上角，选择集群所在地域。

3. 找到目标集群，单击集群ID。

4. 在左侧导航栏单击配置与管理 > 安全管理。

5. 在TDE配置页签，打开TDE状态开关。

   

6. 在设置TDE对话框中，选择使用服务密钥（阿里云自动生成）或使用已有自定义密钥。

   

   说明

   目前TDE支持的密钥类型为Aliyun_AES_256、Aliyun_SM4。

   • 如果您选择使用服务密钥（阿里云自动生成），单击确定，开通TDE。

   • 如果您选择使用已有自定义密钥，下拉选择由密钥管理服务（KMS）产生的密钥，单击确定，开通TDE。

     说明

     • 使用已有自定义密钥时，需要满足以下条件：

       • 已开通KMS。具体操作请参见开通密钥管理服务。

       • 已授权PolarDB访问KMS。具体操作，请参见授权PolarDB访问KMS。

       • 需要使用阿里云账号或者具有AliyunSTSAssumeRoleAccess权限的账号。

     • 如果没有自定义密钥，需要单击前往创建，在密钥管理服务控制台创建密钥并导入自带的密钥材料。详情请参见创建密钥。

     • 您可以通过RAM配置策略，强制要求RAM用户在控制台或API创建集群时必须开启TDE加密功能。

     • 使用已有自定义密钥时，需要注意：

       • 禁用密钥、设置密钥删除计划或者删除密钥材料都会造成密钥不可用。

       • 撤销授权关系后，重启PolarDB集群会导致PolarDB集群不可用。

   开通TDE大约需要10分钟时间，请您耐心等待。

高级选项

加密和解密操作

alter table <tablename> block_format=encrypted;

alter table <tablename> encryption= 'Y';

alter table <tablename> block_format=default;

alter table <tablename> encryption= 'N';