Enkripsi data transparan untuk AlloyDB Omni

Pilih versi dokumentasi:

Untuk melindungi informasi sensitif dan memenuhi persyaratan kepatuhan yang ketat tanpa mengubah kode aplikasi, gunakan enkripsi data transparan (TDE) untuk mengamankan data dalam penyimpanan di AlloyDB Omni. Ringkasan ini menjelaskan cara TDE otomatis mengenkripsi file, log, dan cache database sebelum ditulis ke disk, sehingga memastikan keamanan yang mendalam dengan overhead operasional minimal.

Hierarki kunci

AlloyDB Omni menerapkan hierarki kunci dua tingkat yang mempertahankan pemisahan tugas yang ketat antara database dan infrastruktur keamanan yang dikelola pengguna.

  • Kunci Enkripsi Data (DEK): kunci yang dibuat dan dimiliki oleh AlloyDB Omni. Kunci ini mengenkripsi file data sebenarnya, WAL, dan file sementara. AlloyDB Omni menyimpan DEK di disk, tetapi menggabungkannya dengan KEK Anda.
  • Kunci Enkripsi Kunci (KEK): kunci utama yang Anda kelola di Key Management Service (KMS) eksternal. AlloyDB Omni menggunakan KEK Anda untuk mengenkripsi DEK. AlloyDB Omni mengakses kunci ini hanya saat startup untuk membuka DEK. KEK Anda tidak pernah disimpan secara persisten di disk database.
    • Lokasi dan parameter akses KEK ditentukan dalam resource kustom TdeConfig.

Cara kerja TDE dengan AlloyDB Omni

Jika TDE diaktifkan, AlloyDB Omni akan mengamankan data Anda menggunakan model enkripsi berlapis yang terintegrasi dengan KMS eksternal.

  • Inisialisasi dan pengambilan kunci: selama fase startup atau inisialisasi cluster, mesin AlloyDB Omni membuat koneksi aman ke KMS Anda. Layanan ini melakukan autentikasi menggunakan Token Web JSON (JWT) untuk HashiCorp Vault atau kredensial nama pengguna dan sandi untuk Thales CipherTrust Manager, dan mengambil KEK.
  • Membuka DEK: AlloyDB Omni menggunakan KEK Anda untuk membuka DEK, yang disimpan di penyimpanan lokal dalam status digabungkan. Kemudian, DEK ini dimuat ke dalam memori.
  • Operasi data yang transparan:
    • Menulis ke disk: saat database menulis blok data, catatan WAL, atau file sementara ke disk fisik, database akan otomatis mengenkripsi data menggunakan algoritma AES-256 sebelum menulisnya.
    • Membaca dari disk: saat database perlu membaca data ke dalam memori, database akan otomatis mendekripsi blok menggunakan DEK yang disimpan dalam memori.
    • Enkripsi cache: TDE juga mendukung cache disk, termasuk informasi columnar engine yang disimpan di cache. Data yang ditulis ke lapisan penyimpanan chill cache dienkripsi, dan data yang tumpah ke cache SSD columnar engine dienkripsi sebelum ditulis ke SSD dan didekripsi saat dibaca.

  • Pengoptimalan performa: TDE mencakup pengoptimalan untuk mempertahankan performa tinggi sekaligus mengamankan data. Layanan ini menggunakan perlindungan AES-256-XTS yang dioptimalkan untuk blok data dan cache, serta menampilkan pengoptimalan penulisan sinkron untuk meminimalkan latensi pada jalur cepat.

  • Batas keamanan: KEK Anda tidak pernah disimpan di disk database lokal, sehingga meskipun media penyimpanan fisik terganggu, data tetap tidak dapat dibaca tanpa akses yang sah ke KMS eksternal.

Cakupan dan spesifikasi enkripsi

AlloyDB Omni menggunakan algoritma AES-256 standar industri untuk mengamankan data Anda.

  • File data (tabel dan indeks): AES-256-XTS.
  • Write-ahead logs (WAL): AES-256-CTR.
  • File sementara: AES-256-XTS atau AES-256-CTR, bergantung pada jenis data sementara.
  • File cache columnar engine: AES-256-XTS.
  • File cache Chill: AES-256-XTS.
  • Penggabungan kunci: AES-256-KWP.

Pencadangan dan ketersediaan tinggi

Jika TDE diaktifkan, cadangan yang dibuat menggunakan pgBackRest akan mewarisi konfigurasi enkripsi cluster sumber. Hal ini memastikan bahwa data cadangan Anda tetap terlindungi dengan tingkat keamanan yang sama seperti database utama Anda.

Anda hanya dapat memulihkan cadangan jika resource `TdeConfig` yang digunakan saat pencadangan dilakukan tersedia di namespace yang sama dengan cluster target.

Untuk penyiapan HA, TdeConfig harus ada di namespace yang sama dengan resource DBCluster.

KMS dan autentikasi yang didukung

AlloyDB Omni mendukung penyedia KMS eksternal dan metode autentikasi berikut:

Kompatibilitas alat PostgreSQL

Cluster yang mendukung TDE mendukung semua alat PostgreSQL bawaan melalui resource TdeConfig.

Batasan

  • Anda tidak dapat mengaktifkan TDE di cluster yang sudah ada.
  • Setelah TDE diaktifkan, Anda tidak dapat menonaktifkannya.
  • Upgrade versi utama tidak didukung untuk cluster yang diaktifkan untuk TDE.
  • Anda tidak dapat memulihkan cadangan terenkripsi ke server yang tidak dienkripsi atau cadangan yang tidak dienkripsi ke server terenkripsi.
  • Rotasi DEK tidak didukung.
  • Rotasi KEK didukung selama jalur URL KEK tetap sama.
  • Anda tidak dapat melakukan CREATE DATABASE menggunakan strategi FILE_COPY.
  • Pada cluster yang mengaktifkan TDE, pencadangan Barman hanya mendukung mode rsync. Metode cadangan postgres tidak didukung.

Langkah berikutnya