En esta página, se documenta la versión 18.3.0 de AlloyDB Omni con la opción de implementación del organizador de contenedores. Elige otra opción de implementación.

Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Crea un clúster habilitado para TDE

Selecciona una versión de la documentación:

El operador de Kubernetes de AlloyDB Omni automatiza el ciclo de vida de los clústeres de encriptación de datos transparente (TDE) con el recurso personalizado TdeConfig. Este recurso almacena los detalles de conexión del servicio de administración de claves (KMS), lo que permite que el operador inserte de forma segura las credenciales requeridas en los pods de la base de datos.

Antes de comenzar

Configura el motor de secretos KV-V2 de HashiCorp Vault para asegurarte de que la ruta de la clave de encriptación de claves (KEK) y el token web JSON (JWT) estén disponibles.
Verifica que AlloyDB Omni tenga permiso para leer el archivo de token web JSON (JWT), que es el token de autenticación.

Opcional: Para implementar un clúster habilitado para TDE en OpenShift, otorga la restricción del contexto de seguridad (SCC) hostmount-anyuid a la cuenta de servicio DBCluster que ejecuta el clúster de base de datos.
```
oc adm policy add-scc-to-user hostmount-anyuid -z DBCLUSTER_NAME-sa -n DBCLUSTER_NAMESPACE
```
Reemplaza DBCLUSTER_NAME por el nombre de DBCluster y DBCLUSTER_NAMESPACE por el espacio de nombres en el que deseas crear el recurso DBCluster.

Configura el acceso a Vault

Crea un recurso secreto que contenga tu ruta de KEK y tus credenciales de autenticación.

apiVersion: v1
kind: ConfigMap
metadata:
  name: CONFIG_MAP_NAME
data:
  kek_url: "KEK_URL"
  token_path: "JWT_TOKEN_PATH"

Reemplaza lo siguiente:

CONFIG_MAP_NAME: Es el nombre del mapa de configuración. Los valores definidos en kek_url y token_path se usan en la definición del recurso TdeConfig.
KEK_URL: Es la URL completamente calificada de la KEK en HashiCorp Vault. Usa vault como protocolo para especificar HashiCorp Vault como proveedor de KMS, por ejemplo, vault://vault.default.svc:8200/v1/secrets/data/alloydb_kek.
JWT_TOKEN_PATH: Es la ruta de acceso al token JWT en el nodo. Por ejemplo, /tmp/token. La ruta de acceso al token JWT debe ser coherente en todos los nodos del clúster.

Crea un secreto de TLS

Para crear un secreto de TLS para almacenar tus certificados, ejecuta los siguientes comandos:

kubectl create secret tls VAULT_SECRET_NAME \
    --cert=vault.crt \
    --key=vault.key

kubectl patch secret VAULT_SECRET_NAME \
    -p '{"data":{"ca.crt":"'$(base64 -w 0 vault.crt)'"}}' \
    --type=merge

Reemplaza VAULT_SECRET_NAME por un nombre para el secreto de TLS. Usas este nombre secreto cuando creas el recurso personalizado TdeConfig.

Crea la CRD de TdeConfig

Crea un recurso TdeConfig que defina cómo AlloyDB Omni se comunica con Vault para recuperar la KEK. El único tipo de autenticación compatible es jwt. Asegúrate de crear el recurso TdeConfig en el mismo espacio de nombres que el recurso DbCluster.

Asegúrate de que el usuario postgres pueda acceder a la ruta de acceso a tu token JWT y que se pueda acceder a tu instancia de Vault a través de la red.

Para crear el recurso TdeConfig, sigue estos pasos:

Crea y aplica un manifiesto para el recurso TdeConfig.

  apiVersion: alloydbomni.dbadmin.goog/v1
  kind: TdeConfig
  metadata:
    name: TDE_CONFIG_NAME
  spec:
    kekUrlRef:
      name: CONFIG_MAP_NAME
      key: kek_url
    kmsProvider:
      vault:
        authType: "jwt"
        authMount: "JWT_AUTH_MOUNT_PATH"
        jwt:
          pathRef:
            name: "CONFIG_MAP_NAME"
            key: "token_path"
          role: "VAULT_ROLE"
    tls:
      certSecret:
        name: "VAULT_SECRET_NAME"

Reemplaza lo siguiente:

TDE_CONFIG_NAME: Es el nombre del recurso TdeConfig.
JWT_AUTH_MOUNT_PATH: Es la ruta de acceso en la que se instala el motor de autenticación dentro de HashiCorp Vault, según lo define tu configuración. Por ejemplo, auth/kms.
(Opcional) VAULT_ROLE: Es el rol de cliente definido en la configuración de Vault. El rol de cliente valida el JWT y refleja los derechos de acceso y la identidad específicos que se otorgan al rol dentro de HashiCorp Vault.
VAULT_SECRET_NAME: Es el nombre del secreto que contiene los certificados para la conexión de Vault. Por ejemplo, vault-secret.

Implementa el DBCluster

Crea y aplica un manifiesto para crear un recurso DBCluster que haga referencia a tu recurso TdeConfig. Para obtener más información sobre la creación de un clúster de base de datos, consulta Crea un clúster de base de datos.
```
apiVersion: alloydbomni.dbadmin.goog/v1
kind: DBCluster
metadata:
  name: "DBCLUSTER_NAME"
spec:
  databaseVersion: "18.3.0"
  features:
    transparentDataEncryption:
      tdeConfigRef:
        name: "TDE_CONFIG_NAME"

[...]
```
Reemplaza TDE_CONFIG_NAME por el nombre de tu recurso TdeConfig y DBCLUSTER_NAME por el nombre del DBCluster que deseas crear.
Opcional: Si implementas DBCluster en un entorno de OpenShift, debes anotar el recurso DBCluster con la anotación hostmount-anyuid.
```
kubectl annotate dbclusters.alloydbomni.dbadmin.goog `DBCLUSTER_NAME` -n `DBCLUSTER_NAMESPACE` openshift.io/scc=anyuid
```
Reemplaza DBCLUSTER_NAME por el nombre de tu DBCluster recurso y DBCLUSTER_NAMESPACE por el espacio de nombres en el que deseas crear el recurso DBCluster.

Para habilitar TDE para la caché de columnas que se derrama en SSD, aplica el siguiente parche a tu DBCluster:

kubectl patch dbcluster `DBCLUSTER_NAME` \
  -n `DBCLUSTER_NAMESPACE` \
  -p '{"spec":{"primarySpec":{"parameters": {"google_columnar_engine.enable_tde_for_storage_cache": "on"}}}}' \
  --type=merge

Referencias de métricas de TDE

Puedes ver todas las métricas de TDE en el agente de supervisión de AlloyDB Omni. En la siguiente tabla, se describe cada métrica.

Nombre	Descripción	Etiqueta	Unidad	Tipo
`alloydb_omni_database_tde_data_blocks_decrypted_count_total`	Cantidad de bloques de datos desencriptados.	No aplicable		contador
`alloydb_omni_database_tde_data_blocks_encrypted_count_total`	Cantidad de bloques de datos encriptados.	No aplicable		contador
`alloydb_omni_database_tde_data_decryption_time_us_total`	Tiempo total dedicado a la desencriptación de bloques de datos.	No aplicable	microsegundos	contador
`alloydb_omni_database_tde_data_encryption_time_us_total`	Tiempo total dedicado a la encriptación de bloques de datos.	No aplicable	microsegundos	contador
`alloydb_omni_database_tde_enabled`	Estado de TDE habilitado.	No aplicable		indicador
`alloydb_omni_database_tde_kek_info`	Información de KEK de TDE.	`kek_version`: Versión de la KEK que se usa para el ajuste de claves. `kek_url`: Ruta de acceso completamente calificada a la KEK en KMS. `kek_creation_timestamp`: Hora de creación de la versión de KEK en uso.		indicador
`alloydb_omni_database_tde_temp_blocks_decrypted_count_total`	Cantidad de bloques temporales desencriptados.	No aplicable		contador
`alloydb_omni_database_tde_temp_blocks_encrypted_count_total`	Cantidad de bloques temporales encriptados.	No aplicable		contador
`alloydb_omni_database_tde_temp_decryption_time_us_total`	Tiempo total dedicado a la desencriptación de bloques temporales.	No aplicable	microsegundos	contador
`alloydb_omni_database_tde_temp_encryption_time_us_total`	Tiempo total dedicado a la encriptación de bloques temporales.	No aplicable	microsegundos	contador
`alloydb_omni_database_tde_wal_blocks_decrypted_count_total`	Cantidad de bloques de WAL desencriptados.	No aplicable		contador
`alloydb_omni_database_tde_wal_blocks_encrypted_count_total`	Cantidad de bloques de WAL encriptados.	No aplicable		contador
`alloydb_omni_database_tde_wal_decryption_time_us_total`	Tiempo total dedicado a la desencriptación de bloques de WAL.	No aplicable	microsegundos	contador
`alloydb_omni_database_tde_wal_encryption_time_us_total`	Tiempo total dedicado a la encriptación de bloques de WAL.	No aplicable	microsegundos	contador
`tde_chill_cache_blocks_encrypted`	Cantidad de bloques de caché inactiva encriptados.	No aplicable		contador
`tde_chill_cache_blocks_decrypted`	Cantidad de bloques de caché inactiva desencriptados.	No aplicable		contador
`tde_chill_cache_blocks_total_encryption_time_us`	Tiempo total dedicado a la encriptación de bloques de caché inactiva.	No aplicable	microsegundos	contador
`tde_chill_cache_blocks_total_decryption_time_us`	Tiempo total dedicado a la desencriptación de bloques de caché inactiva.	No aplicable	microsegundos	contador
`tde_ce_cache_ssd_blocks_encrypted`	Cantidad de bloques de caché de columnas derramados en el almacenamiento SSD que se encriptaron.	No aplicable		contador
`tde_ce_cache_ssd_blocks_decrypted`	Cantidad de bloques de caché de columnas derramados en el almacenamiento SSD que se desencriptaron.	No aplicable		contador
`tde_ce_cache_ssd_blocks_total_encryption_time_us`	Tiempo total dedicado a la encriptación de bloques de caché de columnas derramados en el almacenamiento SSD.	No aplicable	microsegundos	contador
`tde_ce_cache_ssd_blocks_total_decryption_time_us`	Tiempo total dedicado a la desencriptación de bloques de caché de columnas derramados en el almacenamiento SSD.	No aplicable	microsegundos	contador

Crea un clúster habilitado para TDE Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.