AlloyDB Omni 的資料庫透明加密 (TDE)

選取文件版本：

透明資料加密 (TDE) 可讓您保護 AlloyDB Omni 叢集中所有靜態資料，無須修改應用程式程式碼。啟用這項功能後，資料表、索引和預寫記錄檔 (WAL) 在寫入磁碟前，都會自動加密。這有助於您遵守法規要求，並保護機密資訊。

加密作業是透明的，因為 SQL 查詢、DDL 和 DML 作業都能正常運作，不需變更應用程式。資料在寫入磁碟前會自動加密，讀取至記憶體時則會解密。

金鑰階層結構

AlloyDB Omni 採用雙層金鑰階層結構，嚴格區分資料庫和使用者管理的安全基礎架構。

  • 資料加密金鑰 (DEK)：由 AlloyDB Omni 產生及擁有。這些金鑰會加密實際資料檔案、WAL 和暫存檔案。AlloyDB Omni 會將 DEK 儲存在磁碟上，但會使用 KEK 包裝。
  • 金鑰加密金鑰 (KEK)：您在外部金鑰管理服務 (KMS) 中管理的主要金鑰。AlloyDB Omni 會使用 KEK 加密 DEK。AlloyDB Omni 只會在啟動時存取這組金鑰，以便解開 DEK。KEK 絕不會永久儲存在資料庫磁碟上。
    • KEK 的位置和存取參數是在 TdeConfig 自訂資源中定義。

TDE 如何與 AlloyDB Omni 搭配運作

啟用 TDE 後，AlloyDB Omni 會使用與外部 KMS 整合的分層加密模型，保護您的資料。

  • 初始化和金鑰擷取：在叢集的啟動或初始化階段，AlloyDB Omni 引擎會與 KMS 建立安全連線。系統會使用 JSON Web Token (JWT) 進行驗證，並擷取 KEK。
  • 解開 DEK：AlloyDB Omni 會使用 KEK 解開 DEK，DEK 會以包裝狀態儲存在本機儲存空間。接著，這些 DEK 會載入記憶體。
  • 透明的資料作業：
    • 寫入磁碟：資料庫將資料區塊、WAL 記錄或暫時檔案寫入實體磁碟時，會先使用 AES-256 演算法自動加密資料，再寫入實體磁碟。
    • 從磁碟讀取：資料庫需要將資料讀取到記憶體時，會自動使用記憶體中的 DEK 解密資料塊。
  • 安全性界限：KEK 絕不會儲存在本機資料庫磁碟上，因此即使實體儲存媒體遭到入侵，只要未經授權存取外部保管箱，資料仍無法讀取。

加密範圍和規格

AlloyDB Omni 會使用業界標準的 AES-256 演算法保護您的資料。

  • 資料檔案 (資料表和索引)：AES-256-XTS。
  • 預寫記錄檔 (WAL)：AES-256-CTR。
  • 暫存檔案：AES-256-XTS 或 AES-256-CTR，視暫存資料類型而定。
  • 金鑰封裝：AES-256-KWP。

備份與高可用性

啟用 TDE 後，使用 pgBackRest 建立的備份會沿用來源叢集的加密設定。這可確保備份資料與主要資料庫享有同等安全防護。

只有在建立備份時使用的 `TdeConfig` 資源，與目標叢集位於相同命名空間時，才能還原備份。

如要設定高可用性，TdeConfig 必須與 DbCluster 資源位於相同的命名空間。

支援的 KMS 和驗證

AlloyDB Omni 支援 HashiCorp Vault 做為外部 KMS 供應商。AlloyDB Omni 僅支援 KV-V2 密鑰引擎，且唯一支援的驗證方式為 JWT。

PostgreSQL 工具相容性

啟用 TDE 的叢集可透過 TdeConfig 資源支援所有內建 PostgreSQL 工具。

限制

  • 您無法在現有叢集啟用 TDE。
  • 啟用後即無法停用。
  • 已啟用 TDE 的叢集不支援升級主要版本。
  • 您無法將加密備份還原至未加密的伺服器，也無法將未加密的備份還原至加密伺服器。
  • 不支援 DEK 輪替。
  • 只要 KEK 網址路徑不變，就支援 KEK 輪替。
  • 您無法使用FILE_COPY策略CREATE DATABASE。
  • 在啟用 TDE 的叢集上，Barman 備份僅支援 rsync 模式。不支援 postgres備份方法。

後續步驟