Transparente Datenverschlüsselung für AlloyDB Omni

Wählen Sie eine Dokumentationsversion aus:

Mit der transparenten Datenverschlüsselung (Transparent Data Encryption, TDE) können Sie alle inaktiven Daten in Ihren AlloyDB Omni-Clustern sichern, ohne den Anwendungscode ändern zu müssen. Wenn Sie diese Funktion aktivieren, werden Tabellen, Indexe und Write-Ahead-Logs (WAL) automatisch verschlüsselt, bevor sie auf das Laufwerk geschrieben werden. So können Sie Complianceanforderungen erfüllen und vertrauliche Informationen schützen.

Die Verschlüsselung ist transparent, da SQL-Abfragen, DDL- und DML-Vorgänge normal funktionieren, ohne dass Änderungen an der Anwendung erforderlich sind. Daten werden automatisch verschlüsselt, bevor sie auf ein Laufwerk geschrieben werden, und entschlüsselt, wenn sie in den Arbeitsspeicher gelesen werden.

Schlüsselhierarchie

AlloyDB Omni implementiert eine zweistufige Schlüsselhierarchie, die eine strikte Aufgabentrennung zwischen der Datenbank und der vom Nutzer verwalteten Sicherheitsinfrastruktur aufrechterhält.

  • Datenverschlüsselungsschlüssel (DEKs): werden von AlloyDB Omni generiert und gehören AlloyDB Omni. Mit diesen Schlüsseln werden die eigentlichen Datendateien, WAL und temporäre Dateien verschlüsselt. AlloyDB Omni speichert DEKs auf dem Laufwerk, verpackt sie aber mit Ihrem KEK.
  • Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK): Der Hauptschlüssel, den Sie in einem externen Key Management Service (KMS) verwalten. AlloyDB Omni verwendet Ihren KEK, um die DEKs zu verschlüsseln. AlloyDB Omni greift nur beim Start auf diesen Schlüssel zu, um die DEKs zu entschlüsseln. Ihr KEK wird nie dauerhaft auf dem Datenbanklaufwerk gespeichert.

Funktionsweise von TDE mit AlloyDB Omni

Wenn TDE aktiviert ist, schützt AlloyDB Omni Ihre Daten mit einem mehrschichtigen Verschlüsselungsmodell, das in ein externes KMS eingebunden ist.

  • Initialisierung und Schlüsselabruf: Während der Start- oder Initialisierungsphase des Clusters stellt die AlloyDB Omni-Engine eine sichere Verbindung zu Ihrem KMS her. Es authentifiziert sich mit einem JSON Web Token (JWT) und ruft den KEK ab.
  • DEKs entschlüsseln: AlloyDB Omni verwendet Ihren KEK, um die DEKs zu entschlüsseln, die im lokalen Speicher in verschlüsselter Form gespeichert sind. Anschließend werden diese DEKs in den Arbeitsspeicher geladen.
  • Transparente Datenvorgänge:
    • Auf Laufwerk schreiben: Wenn die Datenbank Datenblöcke, WAL-Einträge oder temporäre Dateien auf das physische Laufwerk schreibt, werden die Daten automatisch mit AES-256-Algorithmen verschlüsselt, bevor sie auf das physische Laufwerk geschrieben werden.
    • Vom Laufwerk lesen: Wenn die Datenbank Daten in den Arbeitsspeicher lesen muss, werden die Blöcke automatisch mit den im Arbeitsspeicher gespeicherten DEKs entschlüsselt.
  • Sicherheitsgrenzen: Ihr KEK wird nie auf dem lokalen Datenbanklaufwerk gespeichert. So wird sichergestellt, dass die Daten auch dann nicht lesbar sind, wenn physische Speichermedien kompromittiert werden, ohne dass ein autorisierter Zugriff auf den externen Vault besteht.

Verschlüsselungsumfang und ‑spezifikationen

AlloyDB Omni verwendet branchenübliche AES-256-Algorithmen, um Ihre Daten zu schützen.

  • Datendateien (Tabellen und Indexe): AES-256-XTS.
  • Write-Ahead-Logs (WAL): AES-256-CTR.
  • Temporäre Dateien: AES-256-XTS oder AES-256-CTR, je nach Art der temporären Daten.
  • Schlüssel-Wrapping: AES-256-KWP.

Sicherung und Hochverfügbarkeit

Wenn TDE aktiviert ist, übernehmen mit pgBackRest erstellte Sicherungen die Verschlüsselungskonfiguration des Quellclusters. So werden Ihre Sicherungsdaten mit demselben Sicherheitsniveau wie Ihre primäre Datenbank geschützt.

Unterstützte KMS und Authentifizierung

AlloyDB Omni unterstützt HashiCorp Vault als externen KMS-Anbieter. AlloyDB Omni unterstützt nur die KV-V2-Secrets-Engine und die einzige unterstützte Authentifizierungsmethode ist JWT.

Hinweis: AlloyDB Omni unterstützt dateibasiertes KMS. Wir empfehlen jedoch, diese nur zu Testzwecken und nicht in Produktionsarbeitslasten zu verwenden.

Kompatibilität mit PostgreSQL-Tools

TDE-fähige Cluster unterstützen alle integrierten PostgreSQL-Tools, mit Ausnahme von initdb, transparent über Umgebungsvariablen. Wenn Sie initdb verwenden, müssen Sie die KEK-URL übergeben. Weitere Informationen finden Sie unter TDE-fähigen Cluster erstellen.

Beschränkungen

  • Sie können TDE nicht für vorhandene Cluster aktivieren.
  • Nach der Aktivierung können Sie TDE nicht mehr deaktivieren.
  • Upgrades der Hauptversion werden für TDE-fähige Cluster nicht unterstützt.
  • Sie können verschlüsselte Sicherungen nicht auf unverschlüsselten Servern und unverschlüsselte Sicherungen nicht auf verschlüsselten Servern wiederherstellen.
  • Die DEK-Rotation wird nicht unterstützt.
  • Die KEK-Rotation wird unterstützt, solange der KEK-URL-Pfad gleich bleibt.
  • Die KEK-Rotation wird nur für HashiCorp Vault als externen KMS-Anbieter unterstützt.
  • Sie können CREATE DATABASE nicht mit der Strategie FILE_COPY verwenden.
  • Auf TDE-fähigen Clustern unterstützen Barman-Sicherungen nur den rsync-Modus. Die Sicherungsmethode postgres wird nicht unterstützt.

Nächste Schritte