既存テーブルに対する透過的データ暗号化の設定|V4.4.2|OceanBaseデータベース|OceanBaseデータベースドキュメント|分散データベース

機能の適用範囲

OceanBase データベースCommunity Editionは、現在データの透過的暗号化をサポートしていません。

このセクションでは、既存のテーブルに対して透過的データ暗号化を有効にする方法について説明します。

OceanBase データベースにおけるデータ暗号化の単位はテーブルスペース（Tablespace）です。OceanBase データベースは複数のデータファイルを持つデータベースシステムではないため、テーブルスペースは互換性のために設計された概念であり、簡単に言えばテーブルスペースは一連のテーブルの集合であると理解できます。

このセクションでは、暗号化されたテーブルスペース sectest_ts1 上の既存テーブル t1 に対して暗号化を有効にする例を用いて、透過的データ暗号化の操作手順を説明します。

使用制限

システムテナントでは暗号化を有効にできません。
テナントで透過的データ暗号化が設定されると、テナントを再構築しない限り、他の暗号化モードに切り替えることはできません。

暗号化の設定

このセクションでは、internal 方式と obcloud 方式の設定例を示します。

internal方式の透過的データ暗号化の設定

internal方式のテナントマスターキーの暗号情報は、主に内部テーブルで管理されます。ログ再生時の循環依存を避けるため、この暗号化方式ではclogは暗号化されません。

管理者がクラスタのMySQLテナントにログインします。
以下のステートメントを実行して、internal方式の透過的データ暗号化を有効にします。

パラメータtde_methodは透過的テーブル領域暗号化の方式を設定するために使用され、デフォルトはnoneで、透過的テーブル領域暗号化が無効であることを意味します。

パラメータtde_methodの詳細については、tde_methodを参照してください。

注意

パラメータtde_methodは一度設定すると、変更できなくなります。
```
obclient> ALTER SYSTEM SET tde_method='internal';
```
以下のステートメントを実行して、該当テナント上のすべてのOBServerノードにおけるパラメータtde_methodの値がinternalであることを確認します。
```
obclient> SHOW PARAMETERS LIKE 'tde_method';
```
確認後、以下のステートメントを実行してマスターキーを生成します。

説明

このステートメントは、テナント上のすべてのOBServerノードにおけるパラメータtde_methodの値がすべてinternalである場合にのみ、正常に実行されます。
```
obclient> ALTER INSTANCE ROTATE INNODB MASTER KEY;
```
テーブル領域を作成し、暗号化アルゴリズムを指定します。

暗号化アルゴリズムとしてaes-256、aes-128、aes-192、sm4-cbc、aes-128-gcm、aes-192-gcm、aes-256-gcm、sm4-gcmを指定できます。'y'を使用した場合、デフォルトでaes-256が使用されます。

例：
```
obclient> CREATE TABLESPACE sectest_ts1 encryption = 'y'; 
```

obcloud方式の透過的データ暗号化の設定

obcloud方式は、統一されたKMSプロキシサービスを介してマスターキーを管理するシナリオに適しています。

管理者がクラスタのMySQLテナントにログインします。

説明

手順2～5は、obcloud方式の暗号化方法、KMS設定、およびテナントのマスターキーの準備が整っていることを前提としています。本テナントで既にテナントマスターキーの生成（MySQLモード）に従って同様の設定を完了している場合は、これらの手順をスキップできます。読みやすさと操作の便宜上、以下に全プロセスを再度詳細に記載します。

以下のステートメントを実行し、obcloud方式の透過的データ暗号化を有効にします。

パラメータtde_methodは、透過的テーブル領域暗号化の方式を設定するために使用されます。デフォルトはnoneで、透過的テーブル領域暗号化が無効であることを示します。

パラメータtde_methodの詳細な説明については、tde_methodを参照してください。

注意

一度設定したパラメータtde_methodは、後から変更できません。
```
obclient> ALTER SYSTEM SET tde_method = 'obcloud';
```
以下のステートメントを実行し、該当テナント上のすべてのOBServerノードにおけるパラメータtde_methodの値がobcloudであることを確認します。
```
obclient> SHOW PARAMETERS LIKE 'tde_method';
```

以下のステートメントを実行し、KMSプロキシサービスのパラメータを設定します。

obclient> ALTER SYSTEM SET external_kms_info = '{
  "kms_host": "https://kms.example.oceanbase.com",
  "access_key_id": "LTAI****************",
  "access_key_secret": "your_access_key_secret",
  "cmk_id": "your_customer_master_key_id"
}';

確認後、以下のステートメントを実行してマスターキーを生成します。

説明

このステートメントを実行するには、テナント上のすべてのOBServerノードにおけるパラメータtde_methodの値がobcloudであり、かつexternal_kms_infoが正しく設定されている必要があります。
```
obclient> ALTER INSTANCE ROTATE INNODB MASTER KEY;
```
テーブル領域を作成し、暗号化アルゴリズムを指定します。

暗号化アルゴリズムとして aes-256、aes-128、aes-192、sm4-cbc、aes-128-gcm、aes-192-gcm、aes-256-gcm、sm4-gcm を指定できます。'y' を使用する場合、デフォルトでAES-256が使用されます。

例：
```
obclient> CREATE TABLESPACE sectest_ts1 encryption = 'y';
```

注意

上記は external_kms_info の例です。実際のKMSエンドポイントとキー情報に置き換えてください。詳細については、tde_methodおよびexternal_kms_infoを参照してください。

既存テーブルを暗号化テーブルスペースに移動する

暗号化方式の設定が完了したら、既存のテーブルを暗号化テーブルスペースに移動できます。具体的な手順は以下のとおりです：

一般ユーザーがデータベースのMySQLテナントにログインします。
テーブルが存在するデータベースに入った後、テーブルt1をテーブルスペースsectest_ts1に移動します。
```
obclient> ALTER TABLE t1 TABLESPACE sectest_ts1;
```

テーブルの透過的データ暗号化を実行する

一般ユーザーがデータベースのMySQLテナントにログインします。
テーブルのprogressive_merge_num値を設定し、テーブルに対してフルコンパクションまたはプログレッシブコンパクションを実行します。

progressive_merge_numはテーブルのプログレッシブコンパクションのラウンド数を設定します。デフォルトは0で、増分コンパクションを意味します。値を1に設定すると、フルコンパクションを実行します。

テーブルに対してメジャーコンパクション操作を実行する際、通常はフルコンパクション方式を使用します。テーブル内のデータ量が非常に多く、フルコンパクションを有効にすると単一のコンパクション時間が長くなる可能性がある場合は、プログレッシブコンパクションの使用を推奨します。
- テーブルに対してフルコンパクションを実行する
  1. progressive_merge_numの値を1に設定します。
```
obclient> ALTER TABLE t1 set progressive_merge_num = 1;
```
  2. 手動で1ラウンドのメジャーコンパクションを開始します。
    
    手動でメジャーコンパクションを開始する操作については、手動でメジャーコンパクションをトリガーするを参照してください。
    
    説明
    
    テーブルに対してフルコンパクションを実行した後、フルコンパクションが完了すると、すべてのテーブルデータの暗号化が完了します。V$OB_ENCRYPTED_TABLESビューを確認することで、暗号化の完了状況を直接確認できます。
  3. メジャーコンパクションが完了したら、progressive_merge_numの値を0に戻します。
```
obclient> ALTER TABLE t1 set progressive_merge_num = 0;
```
- テーブルに対してプログレッシブコンパクションを実行する
  1. progressive_merge_numの値を1より大きい数に設定し、プログレッシブコンパクションの準備としてOPTIMIZEコマンドを実行します。
    
    例：
```
obclient> ALTER TABLE t1 SET progressive_merge_num = 3;

obclient> OPTIMIZE TABLE t1;
```
  2. 表とその上のインデックスのすべての既存マクロブロックの暗号化を完了するために、手動で複数回の段階的メジャーコンパクションを開始します。
    
    1回の段階的メジャーコンパクションを開始するステートメントは以下のとおりです：
```
obclient> ALTER SYSTEM MAJOR FREEZE;
```
    説明
    
    段階的メジャーコンパクションのプロセス中、V$OB_ENCRYPTED_TABLES ビューをクエリすることで、暗号化の進捗状況をリアルタイムで確認できます。

完了後、以下のビューを確認して、すべてのマクロブロックが暗号化されているかどうかを確認できます。

例：

obclient> SELECT * FROM oceanbase.V$OB_ENCRYPTED_TABLES;
+----------+------------+---------------+---------------+-----------+----------------------------------+-------------+------------------+------------------+--------+--------+
| TABLE_ID | TABLE_NAME | TABLESPACE_ID | ENCRYPTIONALG | ENCRYPTED | ENCRYPTEDKEY                     | MASTERKEYID | BLOCKS_ENCRYPTED | BLOCKS_DECRYPTED | STATUS | CON_ID |
+----------+------------+---------------+---------------+-----------+----------------------------------+-------------+------------------+------------------+--------+--------+
|   500010 | t1         |        500009 | aes-256       | YES       | xxxxxxxxxxxxxxxxxxxxxxxxxxxx7882 |      xxxx08 |                0 |                0 | NORMAL |      0 |
+----------+------------+---------------+---------------+-----------+----------------------------------+-------------+------------------+------------------+--------+--------+
1 row in set

クエリ結果によると、BLOCKS_DECRYPTED フィールドの値が 0 であれば、すべてのマクロブロックが暗号化されていることを意味します。

ビュー V$OB_ENCRYPTED_TABLES のフィールドと説明の詳細については、V$OB_ENCRYPTED_TABLESを参照してください。

OceanBase

顧客事例

既存テーブルに対する透過的データ暗号化の設定