AWS RDS是否支持开箱即用列级加密？自建MySQL迁移加密需求问询

针对你迁移本地MySQL到AWS RDS的加密需求，我整理了完全贴合场景的解决方案：

1. 开箱即用的自动加解密（无需额外编程） #

AWS RDS MySQL确实提供**透明列级加密（Transparent Column-Level Encryption, TLE）**功能，能实现写入自动加密、读取自动解密，完全不需要修改应用代码（不用再手动调用AESEncrypt/Decrypt函数）。

这个功能的核心特点：

• 仅对指定敏感列加密，而非整库加密
• 数据库层自动处理加解密逻辑，应用端完全感知不到加密过程
• 密钥由AWS KMS管理（支持你自己创建的客户管理密钥CMK，或RDS托管的密钥）

快速配置示例 #

先创建密钥相关资源，再定义加密列的表：

-- 创建关联AWS KMS密钥的密钥环
CREATE KEYRING my_keyring USING AWS_KEY_MANAGEMENT_SERVICE (
    KEY_ID = 'arn:aws:kms:us-east-1:123456789012:key/abc123-xyz456'
);

-- 创建列加密密钥（由上面的密钥环保护）
CREATE COLUMN_ENCRYPTION_KEY my_cek
    WITH VALUES (
        KEYRING = my_keyring,
        KEY_VERSION = 1,
        ALGORITHM = 'RSA_OAEP'
    );

-- 创建带自动加密列的表
CREATE TABLE user_data (
    user_id INT PRIMARY KEY,
    full_name VARCHAR(50),
    ssn VARCHAR(11) ENCRYPTED WITH (
        COLUMN_ENCRYPTION_KEY = my_cek,
        ENCRYPTION_ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA256'
    )
);

之后对ssn列的读写操作都无需额外处理，数据库会自动完成加解密。

2. AWS RDS 是否原生支持列级加密？ #

是的，RDS for MySQL原生支持两种列级加密方式：

• 透明列级加密（TLE）：如上所述，是完全透明的自动加解密方案，最适合你的迁移场景（仅支持MySQL 8.0.16及以上版本）
• 手动加密函数：兼容MySQL原生的AES_ENCRYPT/AES_DECRYPT等函数，但需要在应用代码中手动调用，和你本地当前的方式一致，不属于自动加解密范畴

额外注意事项 #

• 版本要求：透明列级加密仅在RDS for MySQL 8.0.16及以上版本可用，若你使用更低版本，需要先升级实例版本
• 迁移兼容性：迁移现有加密数据时，建议先在本地解密数据，再迁移到RDS后启用TLE加密；或者直接在RDS中通过函数转换，前者更高效
• 密钥控制权：使用客户管理密钥（CMK）可以自主轮换密钥、撤销权限，比RDS托管密钥拥有更高的控制权

内容的提问来源于stack exchange，提问作者Eresh