当前位置：首页 > article >正文

各知名云平台对于 MySQL TDE的支持汇总和对比

article 2025/1/8 19:09:40

MySQL Community TDE功能介绍：

TDE: Transparent Data Encryption, 也就是透明传输加密。在MySQL community官网上有这样原文介绍：With MySQL version 5.7.12 and up, Oracle continues to improve MySQL’s security features by adding MySQL Enterprise Transparent Data Encryption (TDE) for InnoDB tables stored in innodb_file_per_table tablespaces.

因此，对于TDE功能，其实社区版MySQL5.7是不支持的，只有Enterprise版本才支持。

而后到了MySQL 8.0版本，社区版也支持TDE插件了: All MySQL editions provide a component_keyring_file component and keyring_file plugin, each of which stores keyring data in a file local to the server host.【1】

那么，对于各大云厂商，对这个MySQL TDE的支持都如何呢？

1. AWS:

根据参考文档【2】【3】【4】，很遗憾的是，只有RDS Oracle和 RDS SQL Server支持TDE。 AWS RDS MySQL是不支持TDE的。RDS MySQL仅支持存储层面启用KMS Key进行 data at rest的加密，也就是RDS实例底层EBS卷的加密。

RDS Oracle 和 RDS SQL Server 都是通过选项组的方式来启用透明传输加密的。

2. Azure SQL:

Azure SQL很有意思，它是支持MySQL TDE的。而且Azure云上SQL TDE功能的实现，跟社区版MySQL不同，不同在如下方式：

官方文档【5】中写到：“在 Azure SQL 数据库客户启用 TDE 后，系统会自动为其创建和管理密钥。可以在数据库和服务器级别启用静态加密。从 2017 年 6 月开始，会在新创建的数据库上默认启用透明数据加密 (TDE)。”

后续可以通过alter database，在database级别启用TDE：

ALTER DATABASE（Azure SQL 数据库）

SET ENCRYPTION ON/OFF 会加密或解密数据库

3. 阿里云：

阿里云官方文档【6】中有如下说明：

"RDS提供MySQL、PostgreSQL和SQL Server的透明数据加密（Transparent Data Encryption，简称TDE）功能。 MySQL和PostgreSQL版的TDE由阿里云自研，SQL Server版的TDE是基于SQL Server企业版的功能改造而来。当RDS实例开启TDE功能后，您可以指定参与加密的数据库或者表。"

而启用 RDS MySQL的 TDE功能以后，后续创建的table，需要手动启用加密：

create table xxx ENCRYPTION='Y';

只有在Table级别启用TDE，没有在database级别控制的

MySQL community有个参数来控制：

default_table_encryption system variable defines the default encryption setting for schemas and general tablespaces.

但是这个参数在阿里云中没有暴露，也就是不允许RDS MySQL来进行更改。（截至2025年1月3日）

后续不知道是否会有database级别自动启用TDE的改进，大家感兴趣的可以多关注一下官网和官方文档。