Crittografia trasparente dei dati per AlloyDB Omni

Select a documentation version:

Per proteggere le informazioni sensibili e soddisfare i rigorosi requisiti di conformità senza modificare il codice dell'applicazione, utilizza la crittografia dei dati trasparente (TDE) per proteggere i dati inattivi in AlloyDB Omni. Questa panoramica spiega come TDE cripta automaticamente i file di database, i log e le cache prima che vengano scritti su disco, garantendo la sicurezza in profondità con un sovraccarico operativo minimo.

Gerarchia delle chiavi

AlloyDB Omni implementa una gerarchia delle chiavi a due livelli che mantiene una rigorosa separazione dei compiti tra il database e l'infrastruttura di sicurezza gestita dall'utente.

  • Chiavi di crittografia dei dati (DEK): chiavi generate e di proprietà di AlloyDB Omni. Queste chiavi criptano i file di dati effettivi, i WAL, e i file temporanei. AlloyDB Omni archivia le DEK su disco, ma le cripta con la tua KEK.
  • Chiave di crittografia della chiave (KEK): la chiave principale che gestisci in un Key Management Service (KMS) esterno. AlloyDB Omni utilizza la tua KEK per criptare le DEK. AlloyDB Omni accede a questa chiave solo all'avvio per decriptare le DEK. La KEK non viene mai archiviata in modo permanente sul disco del database.
    • La località e i parametri di accesso della KEK sono definiti nella TdeConfig risorsa personalizzata.

Come funziona TDE con AlloyDB Omni

Quando TDE è abilitato, AlloyDB Omni protegge i tuoi dati utilizzando un modello di crittografia a livelli che si integra con un KMS esterno.

  • Inizializzazione e recupero delle chiavi: durante la fase di avvio o inizializzazione del cluster, il motore AlloyDB Omni stabilisce una connessione sicura al KMS. Esegue l'autenticazione utilizzando un token web JSON (JWT) per HashiCorp Vault o le credenziali di nome utente e password per Thales CipherTrust Manager e recupera la KEK.
  • Decrittografia delle DEK: AlloyDB Omni utilizza la tua KEK per decriptare le DEK, che vengono archiviate nello spazio di archiviazione locale in uno stato criptato. Quindi, queste DEK vengono caricate in memoria.
  • Operazioni sui dati trasparenti:
    • Scrittura su disco: quando il database scrive data block, record WAL o file temporanei sul disco fisico, cripta automaticamente i dati utilizzando gli algoritmi AES-256 prima di scriverli.
    • Lettura da disco: quando il database deve leggere i dati in memoria, decripta automaticamente i blocchi utilizzando le DEK memorizzate in memoria.
    • Crittografia della cache: TDE supporta anche la cache su disco, incluse le informazioni del motore colonnare archiviate nella cache. I dati scritti nel livello di archiviazione della cache inattiva vengono criptati e i dati trasferiti nella cache SSD del motore colonnare vengono criptati prima di essere scritti sull'SSD e decriptati durante la lettura.

  • Ottimizzazioni delle prestazioni: TDE include ottimizzazioni per mantenere prestazioni elevate durante la protezione dei dati. Utilizza la protezione AES-256-XTS ottimizzata per i blocchi di dati e le cache e include ottimizzazioni della scrittura sincrona per ridurre al minimo la latenza sui percorsi veloci.

  • Limiti di sicurezza: la KEK non viene mai archiviata sul disco del database locale, garantendo che, anche se i supporti di archiviazione fisica vengono compromessi, i dati rimangano illeggibili senza l'accesso autorizzato al KMS esterno.

Ambito e specifiche della crittografia

AlloyDB Omni utilizza algoritmi AES-256 standard di settore per proteggere i tuoi dati.

  • File di dati (tabelle e indici): AES-256-XTS.
  • Log di scrittura anticipata (WAL): AES-256-CTR.
  • File temporanei: AES-256-XTS o AES-256-CTR a seconda del tipo di dati temporanei.
  • File di cache del motore colonnare: AES-256-XTS.
  • File di cache inattiva: AES-256-XTS.
  • Crittografia della chiave: AES-256-KWP.

Backup e alta affidabilità

Quando TDE è abilitato, i backup creati utilizzando pgBackRest ereditano la configurazione di crittografia del cluster di origine. In questo modo, i dati di backup rimangono protetti con lo stesso livello di sicurezza del database principale.

Puoi ripristinare i backup solo se la risorsa `TdeConfig` utilizzata al momento dell'esecuzione del backup è disponibile nello stesso spazio dei nomi del cluster di destinazione.

Per le configurazioni HA, TdeConfig deve essere presente nello stesso spazio dei nomi della risorsa DBCluster.

KMS e autenticazione supportati

AlloyDB Omni supporta i seguenti provider KMS esterni e metodi di autenticazione:

  • HashiCorp Vault: Supporta il motore di secret KV-V2 con autenticazione tramite token web JSON (jwt) .
  • Thales CipherTrust Manager: Supporta la gestione dei secret con autenticazione tramite nome utente e password (password) .

Compatibilità degli strumenti PostgreSQL

I cluster con TDE abilitato supportano tutti gli strumenti PostgreSQL integrati tramite la risorsa TdeConfig.

Limitazioni

  • Non puoi abilitare TDE sui cluster esistenti.
  • Dopo aver abilitato TDE, non puoi disabilitarlo.
  • Gli upgrade della versione principale non sono supportati per i cluster con TDE abilitato.
  • Non puoi ripristinare i backup crittografati su server non crittografati o i backup non crittografati su server crittografati.
  • La rotazione delle DEK non è supportata.
  • La rotazione delle KEK è supportata a condizione che il percorso dell'URL della KEK rimanga lo stesso.
  • Non puoi utilizzare CREATE DATABASE utilizzando la strategia FILE_COPY.
  • Nei cluster con TDE abilitato, i backup di Barman supportano solo la modalità rsync. Il metodo di backup postgres non è supportato.

Passaggi successivi