テナントのマスターキーの生成（MySQLモード）

本記事では、MySQLモードのテナントでテナントのマスターキーを生成する方法について説明します。生成後は、透過的データ暗号化（TDE）、列暗号化、関数暗号化機能を使用できます。

前提条件

• MySQLテナントが作成済みであること。
• 管理ユーザーでテナントにログインしていること。

マスターテナントキーの生成

マスターテナントキーの生成に関する説明：

1. 透過的データ暗号化（TDE）機能を使用するには、まずマスターテナントキーを生成する必要があります。マスターテナントキーの値（つまりtde_methodの値）はnone以外である必要があります。ログ再生時の循環依存を回避するため、tde_methodがinternalに設定されている場合、TDEのclogは暗号化されません。
2. 列暗号化機能もマスターテナントキーがnone以外である必要があります。
3. 関数暗号化機能も、none以外のマスターテナントキーを生成する必要があります。
4. 上記3つの機能では、すべてtde_methodをobcloudに設定することを推奨します。

以下はobcloud方式の例です。外部KMSサービスを使用する場合は、tde_methodをobcloudに設定し、external_kms_infoを構成してください。

1. 管理ユーザーでクラスタのMySQLテナントにログインします。

2. 以下のステートメントを実行して、obcloud方式の暗号化を有効にします。

   パラメータtde_methodはマスターテナントキーの格納方法を設定するために使用され、デフォルトはnoneで、暗号化が無効であることを意味します。

   パラメータtde_methodの詳細については、tde_methodを参照してください。

   注意

   パラメータtde_methodは一度設定すると、変更できなくなります。

   ALTER SYSTEM SET tde_method='obcloud';
   

3. 以下のステートメントを実行して、該当テナントのすべてのOBServerノード上のパラメータtde_methodの値がobcloudであることを確認します。

   SHOW PARAMETERS LIKE 'tde_method';
   

4. 以下のステートメントを実行して、キー管理情報を設定します。

   パラメータexternal_kms_infoの詳細については、external_kms_infoを参照してください。

   -- この例は参考用です。実際のキー管理情報に置き換えてください。
   ALTER SYSTEM SET external_kms_info='{
            "KMS_HOST": "kms.ob.com:443",
            "ROOT_CERT": "******",
            "PRIVATE_KEY": "******",
            "PRIVATE_KEY_PHRASE": "ob2025",
            "SCENE": "ANT",
            "KEY_NAME": "ob_cluster_key",
            "CALLER": "oceanbase_admin"}';
   

5. 以下のステートメントを実行して、マスターテナントキーを生成します。

   説明

   テナント上のすべてのOBServerノード上のパラメータtde_methodの値がinternalである場合にのみ、このステートメントを実行できます。初回実行時は、キーが有効になるまで約20秒待機する必要があります。

   ALTER INSTANCE ROTATE INNODB MASTER KEY;
   

マスターテナントキーのローテーション

セキュリティを向上させるため、定期的にマスターテナントキーをローテーションすることを推奨します。マスターテナントキーをローテーションした後、新しいデータは新しいキーで暗号化され、古いデータは引き続き古いキーで復号できます。

ALTER INSTANCE ROTATE INNODB MASTER KEY;

次のステップ

マスターキーを生成した後、以下の操作が可能になります。

• 透過的データ暗号化（TDE）の使用：新規作成テーブルへのTDEの設定を参照してください。
• 列暗号化機能の使用：列暗号化ルールの作成を参照してください。
• 関数暗号化機能の使用：ENHANCED_AES_ENCRYPTおよびENHANCED_AES_DECRYPTを参照してください。

関連ドキュメント

• テナントマスターキーの概要
• テナントマスターキーの生成（Oracleモード）