Transparente Datenverschlüsselung (Transparent Data Encryption, TDE) für AlloyDB Omni

Wählen Sie eine Dokumentationsversion aus:

Mit der transparenten Datenverschlüsselung (Transparent Data Encryption, TDE) können Sie alle Daten im Ruhezustand in Ihren AlloyDB Omni-Clustern schützen, ohne Ihren Anwendungscode ändern zu müssen. Wenn Sie diese Funktion aktivieren, werden Tabellen, Indexe und Write-Ahead-Logs (WAL) automatisch verschlüsselt, bevor sie auf die Festplatte geschrieben werden. So können Sie Complianceanforderungen erfüllen und sensible Informationen schützen.

Die Verschlüsselung ist transparent, da SQL-Abfragen, DDL- und DML-Vorgänge normal funktionieren, ohne dass Anwendungsänderungen erforderlich sind. Daten werden automatisch verschlüsselt, bevor sie auf die Festplatte geschrieben werden, und entschlüsselt, wenn sie in den Arbeitsspeicher gelesen werden.

Schlüsselhierarchie

In AlloyDB Omni wird eine zweistufige Schlüsselhierarchie implementiert, die eine strikte Trennung der Zuständigkeiten zwischen der Datenbank und der vom Nutzer verwalteten Sicherheitsinfrastruktur gewährleistet.

  • Datenverschlüsselungsschlüssel (Data Encryption Keys, DEKs): werden von AlloyDB Omni generiert und gehören AlloyDB Omni. Mit diesen Schlüsseln werden die eigentlichen Datendateien, WAL und temporären Dateien verschlüsselt. In AlloyDB Omni werden DEKs auf der Festplatte gespeichert, aber mit Ihrem KEK verschlüsselt.
  • Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK): Der Hauptschlüssel, den Sie in einem externen Key Management Service (KMS) verwalten. AlloyDB Omni verwendet Ihren KEK zum Verschlüsseln der DEKs. AlloyDB Omni greift nur beim Start auf diesen Schlüssel zu, um die DEKs zu entpacken. Ihr KEK wird nie dauerhaft auf der Datenbankfestplatte gespeichert.
    • Der Speicherort und die Zugriffsparameter des KEK werden in der benutzerdefinierten Ressource TdeConfig definiert.

Funktionsweise von TDE mit AlloyDB Omni

Wenn TDE aktiviert ist, schützt AlloyDB Omni Ihre Daten mit einem mehrschichtigen Verschlüsselungsmodell, das in ein externes KMS eingebunden ist.

  • Initialisierung und Schlüsselabruf: Während der Start- oder Initialisierungsphase des Clusters stellt die AlloyDB Omni-Engine eine sichere Verbindung zu Ihrem KMS her. Sie authentifiziert sich mit einem JSON Web Token (JWT) und ruft den KEK ab.
  • DEKs entpacken: AlloyDB Omni verwendet Ihren KEK, um die DEKs zu entpacken, die im lokalen Speicher in einem gepackten Zustand gespeichert sind. Anschließend werden diese DEKs in den Arbeitsspeicher geladen.
  • Transparente Datenvorgänge:
    • Schreiben auf die Festplatte: Wenn die Datenbank Datenblöcke, WAL-Datensätze oder temporäre Dateien auf die physische Festplatte schreibt, werden die Daten automatisch mit AES-256-Algorithmen verschlüsselt, bevor sie auf die physische Festplatte geschrieben werden.
    • Lesen von der Festplatte: Wenn die Datenbank Daten in den Arbeitsspeicher lesen muss, werden die Blöcke automatisch mit den DEKs entschlüsselt, die im Arbeitsspeicher gespeichert sind.
  • Sicherheitsgrenzen: Ihr KEK wird nie auf der lokalen Datenbankfestplatte gespeichert. Selbst wenn physische Speichermedien kompromittiert werden, bleiben die Daten ohne autorisierten Zugriff auf den externen Tresor unlesbar.

Verschlüsselungsbereich und ‑spezifikationen

AlloyDB Omni verwendet branchenübliche AES-256-Algorithmen, um Ihre Daten zu schützen.

  • Datendateien (Tabellen und Indexe): AES‑256‑XTS.
  • Write-Ahead-Logs (WAL): AES-256-CTR.
  • Temporäre Dateien:AES‑256‑XTS oder AES‑256‑CTR, je nach Art der temporären Daten.
  • Key-Wrapping:AES-256-KWP.

Sicherung und Hochverfügbarkeit

Wenn TDE aktiviert ist, übernehmen Sicherungen, die mit pgBackRest erstellt wurden, die Verschlüsselungskonfiguration des Quellclusters. So bleiben Ihre Sicherungsdaten mit demselben Sicherheitsniveau geschützt wie Ihre primäre Datenbank.

Sie können Sicherungen nur wiederherstellen, wenn die `TdeConfig`-Ressource, die zum Zeitpunkt der Sicherung verwendet wurde, im selben Namespace wie der Zielcluster verfügbar ist.

Bei HA-Einrichtungen muss TdeConfig im selben Namespace wie die DbCluster-Ressource vorhanden sein.

Unterstützte KMS und Authentifizierung

AlloyDB Omni unterstützt HashiCorp Vault als externen KMS-Anbieter. AlloyDB Omni unterstützt nur die Secrets Engine KV-V2 und die einzige unterstützte Authentifizierungsmethode ist JWT.

Kompatibilität mit PostgreSQL-Tools

TDE-fähige Cluster unterstützen alle integrierten PostgreSQL-Tools über die TdeConfig-Ressource.

Beschränkungen

  • Sie können TDE nicht für vorhandene Cluster aktivieren.
  • Nach der Aktivierung können Sie TDE nicht mehr deaktivieren.
  • Upgrades der Hauptversion werden für TDE-fähige Cluster nicht unterstützt.
  • Sie können verschlüsselte Sicherungen nicht auf unverschlüsselten Servern und unverschlüsselte Sicherungen nicht auf verschlüsselten Servern wiederherstellen.
  • Die DEK-Rotation wird nicht unterstützt.
  • Die KEK-Rotation wird unterstützt, solange der KEK-URL-Pfad gleich bleibt.
  • Sie können CREATE DATABASE nicht mit der Strategie FILE_COPY verwenden.
  • Auf TDE-fähigen Clustern unterstützen Barman-Sicherungen nur den rsync-Modus. Die Sicherungsmethode postgres wird nicht unterstützt.

Nächste Schritte