既存テーブルに対する透過的データ暗号化の設定

この記事では、既存のテーブルに対して透過的暗号化を有効にする方法について説明します。

OceanBaseデータベースでは、データの暗号化単位としてテーブルスペース（Tablespace）が使用されます。OceanBaseデータベースは複数のデータファイルを扱うシステムではなく、テーブルスペースは互換性を保つために設計された概念であり、簡単に言えばテーブルスペースとは一連のテーブルの集合と理解できます。

この記事では、暗号化されたテーブルスペースsectest_ts1上の既存テーブルt1に対して暗号化を有効にする例を挙げ、透過的暗号化の操作手順を説明します。

制限事項

• システムテナントでは暗号化を有効にできません。
• テナントが透過的暗号化を設定した後、テナントを再構築しない限り、他の暗号化モードに切り替えることはできません。

internal方式の透過的暗号化の設定

internal方式では、ストレージマスターキーの暗号情報は主に内部テーブルで管理されます。ログ再生時の循環依存を避けるため、この暗号化方式ではclogは暗号化されません。

1. 管理者がクラスタのMySQLテナントにログインします。

2. 以下のステートメントを実行して、internal方式の透過的暗号化を有効にします。

   パラメータtde_methodは、透過的テーブル領域暗号化の方式を設定するために使用されます。デフォルトはnoneであり、これは透過的テーブル領域暗号化が無効であることを示します。

   パラメータtde_methodの詳細については、tde_methodを参照してください。

   注意

   パラメータ tde_method は一度設定すると、変更することができなくなります。

   obclient> ALTER SYSTEM SET tde_method='internal';
   

3. 以下のステートメントを実行して、このテナント上のすべてのOBServerノード上のパラメータtde_methodの値がinternalであることを確認します。

   obclient> SHOW PARAMETERS LIKE 'tde_method';
   

4. 確認後、以下のステートメントを実行して、マスターキーを生成します。

   説明

   このステートメントは、テナント上のすべてのOBServerノード上のパラメータ tde_method の値が internal の場合にのみ正常に実行されます。

   obclient> ALTER INSTANCE ROTATE INNODB MASTER KEY;
   

5. テーブル領域を作成し、暗号化アルゴリズムを指定します。

   暗号化アルゴリズムとしてaes-256、aes-128、aes-192、sm4-cbc、aes-128-gcm、aes-192-gcm、aes-256-gcm、sm4-gcmを指定できます。'y'を使用する場合、デフォルトでaes-256が使用されることを意味します。

   例：

   obclient> CREATE TABLESPACE sectest_ts1 encryption = 'y';
   

既存のテーブルを暗号化テーブル領域に移動

1. 一般ユーザーがデータベースのMySQLテナントにログインします。

2. テーブルが存在するデータベースに移動し、テーブルt1をテーブル領域sectest_ts1に移動します。

   obclient> ALTER TABLE t1 TABLESPACE sectest_ts1;
   

テーブルの透過的暗号化を実行する

1. 一般ユーザーがデータベースのMySQLテナントにログインします。

2. テーブルのprogressive_merge_num値を設定し、テーブルに対してフルコンパクションまたは段階的コンパクションを実行します。

   progressive_merge_numは、テーブルの段階的コンパクションのラウンド数を設定するために使用されます。デフォルト値は0であり、増分コンパクションを実行することを意味します。値を1に設定すると、フルコンパクションを実行することを意味します。

   テーブルに対してコンパクション操作を実行する際、通常はフルコンパクション方式を使用します。テーブル内のデータ量が非常に大きい場合、フルコンパクションを有効にすると、単一のコンパクション時間が長くなる可能性があるため、段階的コンパクションを使用することを推奨します。

   • テーブルに対してフルコンパクションを実行する

     1. progressive_merge_numの値を1に設定します。

        obclient> ALTER TABLE t1 set progressive_merge_num = 1;
        

     2. 手動で1ラウンドのコンパクションを開始します。

        手動でコンパクションを開始する操作については、手動でコンパクションをトリガーするを参照してください。

        説明

        テーブルに対してフルコンパクションを実行した後、フルコンパクションが完了すると、すべてのテーブルデータが暗号化されます。暗号化の完了状況は、V$OB_ENCRYPTED_TABLESビューを確認することで直接確認できます。

     3. コンパクションが完了したら、progressive_merge_numの値を0に設定します。

        obclient> ALTER TABLE t1 set progressive_merge_num = 0;
        

   • テーブルに対して段階的コンパクションを実行する

     1. progressive_merge_numの値を1より大きい数に設定し、OPTIMIZEコマンドを実行して、段階的コンパクションの準備を行います。

        例：

        obclient> ALTER TABLE t1 SET progressive_merge_num = 3;
        
        obclient> OPTIMIZE TABLE t1;
        

     2. 手動で複数ラウンドの段階的コンパクションを開始し、テーブルおよびその上のインデックスのすべての既存のマクロブロックの暗号化を完了させます。

        1ラウンドの段階的コンパクションを開始するステートメントは以下のとおりです：

        obclient> ALTER SYSTEM MAJOR FREEZE;
        

        説明

        段階的コンパクション中は、V$OB_ENCRYPTED_TABLESビューを照会することで、暗号化の完了状況をリアルタイムで確認できます。

3. 完了後、以下のビューを確認して、すべてのマクロブロックが暗号化されているかどうかを確認できます。

   例：

   obclient> SELECT * FROM oceanbase.V$OB_ENCRYPTED_TABLES;
   +----------+------------+---------------+---------------+-----------+----------------------------------+-------------+------------------+------------------+--------+--------+
   | TABLE_ID | TABLE_NAME | TABLESPACE_ID | ENCRYPTIONALG | ENCRYPTED | ENCRYPTEDKEY                     | MASTERKEYID | BLOCKS_ENCRYPTED | BLOCKS_DECRYPTED | STATUS | CON_ID |
   +----------+------------+---------------+---------------+-----------+----------------------------------+-------------+------------------+------------------+--------+--------+
   |   500010 | t1         |        500009 | aes-256       | YES       | xxxxxxxxxxxxxxxxxxxxxxxxxxxx7882 |      xxxx08 |                0 |                0 | NORMAL |      0 |
   +----------+------------+---------------+---------------+-----------+----------------------------------+-------------+------------------+------------------+--------+--------+
   1 row in set
   

   クエリ結果に基づいて、BLOCKS_DECRYPTEDフィールドの値が0であれば、すべてのマクロブロックが暗号化されていることを意味します。

   ビューV$OB_ENCRYPTED_TABLESの他のフィールドとその説明については、V$OB_ENCRYPTED_TABLESを参照してください。

関連ドキュメント

• 新規作成したテーブルに透過的データ暗号化を設定する
• 暗号化の解除