建立啟用 TDE 的叢集

HashiCorp Vault KMS

• 設定 HashiCorp Vault 的 KV-V2 Secret 引擎，確保金鑰加密金鑰 (KEK) 路徑和 JSON Web Token (JWT) 可用。
• 確認 AlloyDB Omni 有權讀取 JSON Web Token (JWT) 檔案，也就是驗證權杖。

• 選用：如要在 OpenShift 上部署啟用 TDE 的叢集，請將 hostmount-anyuid 安全性內容限制 (SCC) 授予執行資料庫叢集的 DBCluster 服務帳戶。

  oc adm policy add-scc-to-user hostmount-anyuid -z DBCLUSTER_NAME-sa -n DBCLUSTER_NAMESPACE

  將 DBCLUSTER_NAME 替換為 DBCluster 的名稱，並將 DBCLUSTER_NAMESPACE 替換為要建立 DBCluster 資源的命名空間。

Thales CipherTrust KMS

• 設定 Thales CipherTrust Manager，確保建立並匯出私密金鑰加密金鑰 (KEK)。
• 確認您擁有 CipherTrust Manager 使用者帳戶 (username 和 password)，且具備驗證及匯出 KEK 密鑰的權限。

• 選用：如要在 OpenShift 上部署已啟用 TDE 的叢集，請將 hostmount-anyuid 安全性內容限制 (SCC) 授予執行資料庫叢集的 DBCluster 服務帳戶。

  oc adm policy add-scc-to-user hostmount-anyuid -z DBCLUSTER_NAME-sa -n DBCLUSTER_NAMESPACE

  將 DBCLUSTER_NAME 替換為 DBCluster 的名稱，並將 DBCLUSTER_NAMESPACE 替換為要建立 DBCluster 資源的命名空間。

HashiCorp Vault KMS

建立 ConfigMap 資源，其中包含 KEK 網址和 JWT 權杖的主機路徑：

apiVersion: v1
kind: ConfigMap
metadata:
  name: CONFIG_MAP_NAME
data:
  kek_url: "KEK_URL"
  token_path: "JWT_TOKEN_PATH"

更改下列內容：

• CONFIG_MAP_NAME：ConfigMap 的名稱。TdeConfig 資源定義會使用 kek_url 和 token_path 中定義的值。
• KEK_URL：HashiCorp Vault 中 KEK 的完整網址。使用 vault 通訊協定將 HashiCorp Vault 指定為 KMS 提供者，例如 vault://vault.default.svc:8200/v1/secret/data/alloydb_kek。
• JWT_TOKEN_PATH：節點上的 JWT 權杖路徑，例如 /tmp/token。叢集中所有節點的 JWT 權杖存取路徑必須一致。

Thales CipherTrust KMS

建立包含 KEK 網址的 ConfigMap 資源，以及包含 Thales CipherTrust Manager 驗證憑證的 Secret 資源：

apiVersion: v1
kind: ConfigMap
metadata:
  name: CONFIG_MAP_NAME
data:
  kek_url: "KEK_URL"
---
apiVersion: v1
kind: Secret
metadata:
  name: CREDENTIALS_SECRET_NAME
type: Opaque
stringData:
  username: "CIPHERTRUST_USERNAME"
  password: "CIPHERTRUST_PASSWORD"

更改下列內容：

• CONFIG_MAP_NAME：ConfigMap 的名稱。kek_url 中定義的值會用於 TdeConfig 資源定義。
• KEK_URL：Thales CipherTrust Manager 中 KEK 的完整網址。使用 ciphertrust 做為通訊協定，將 Thales CipherTrust Manager 指定為 KMS 供應商，例如 ciphertrust://ciphertrust.default.svc:443/api/v1/vault/secrets/alloydb_kek。
• CREDENTIALS_SECRET_NAME：儲存 CipherTrust Manager 憑證的 Kubernetes Secret 名稱，例如 ciphertrust-credentials。
• CIPHERTRUST_USERNAME：用於向 Thales CipherTrust Manager 驗證的使用者名稱。
• CIPHERTRUST_PASSWORD：Thales CipherTrust Manager 使用者的密碼。

HashiCorp Vault KMS

請確認 postgres 使用者可以存取主機節點上的 JWT 權杖路徑。建立並套用 TdeConfig 資源的資訊清單：

apiVersion: alloydbomni.dbadmin.goog/v1
kind: TdeConfig
metadata:
  name: TDE_CONFIG_NAME
spec:
  kekUrlRef:
    name: CONFIG_MAP_NAME
    key: kek_url
  kmsProvider:
    vault:
      authType: "jwt"
      authMount: "JWT_AUTH_MOUNT_PATH"
      jwt:
        pathRef:
          name: "CONFIG_MAP_NAME"
          key: "token_path"
        role: "VAULT_ROLE"
  tls:
    certSecret:
      name: "TLS_SECRET_NAME"

更改下列內容：

• TDE_CONFIG_NAME：TdeConfig 資源的名稱。
• CONFIG_MAP_NAME：上一步建立的 ConfigMap 名稱。
• JWT_AUTH_MOUNT_PATH：驗證引擎在 HashiCorp Vault 內掛接的路徑，如設定所定義，例如 auth/kms。
• 選用：VAULT_ROLE：在保管箱設定中定義的用戶端角色。用戶端角色會驗證 JWT，並反映角色在 HashiCorp Vault 中獲得的特定存取權和身分。
• TLS_SECRET_NAME：包含 Vault 連線 TLS 憑證的 Secret 名稱，例如 vault-secret。

Thales CipherTrust KMS

使用 ciphertrust 供應商，為 TdeConfig 資源建立及套用資訊清單：

apiVersion: alloydbomni.dbadmin.goog/v1
kind: TdeConfig
metadata:
  name: TDE_CONFIG_NAME
spec:
  kekUrlRef:
    name: CONFIG_MAP_NAME
    key: kek_url
  kmsProvider:
    ciphertrust:
      authType: "password"
      credentialsSecretRef:
        name: "CREDENTIALS_SECRET_NAME"
  tls:
    certSecret:
      name: "TLS_SECRET_NAME"

更改下列內容：

• TDE_CONFIG_NAME：TdeConfig 資源的名稱。
• CONFIG_MAP_NAME：包含 kek_url 的 ConfigMap 名稱。
• CREDENTIALS_SECRET_NAME：Kubernetes Secret 的名稱，其中包含 CipherTrust Manager username 和 password 金鑰，例如 ciphertrust-credentials。
• TLS_SECRET_NAME：密鑰名稱，內含 CipherTrust Manager 連線的 TLS 憑證，例如 ciphertrust-tls-secret。