建立啟用 TDE 的叢集

選取文件版本： 18.3.0

• 目前版本 (18.4.0)
• 18.4.0
• 18.3.0
• 18.1.1

在 AlloyDB Omni 啟用透明資料加密 (TDE)，即可保護靜態資料和機密資訊。本文說明如何在資料庫初始化期間，提供必要的 Vault 環境變數和 --tde-kek-url 旗標，在 POSTGRES_INITDB_ARGS 環境變數中建立啟用 TDE 的叢集。

事前準備

• 請參閱「規劃 AlloyDB Omni 安裝作業」。
• 規劃啟用 TDE 的 AlloyDB Omni 部署作業時，請務必根據預期工作負載和資料量，考量額外的 CPU 用量。加密和解密作業會耗用大量運算資源。

• 設定 HashiCorp Vault 的 KV-V2 Secret 引擎，確保金鑰加密金鑰 (KEK) 路徑和 JSON Web Token (JWT) 可用。
• 確認 AlloyDB Omni 有權讀取 JSON 網頁權杖 (JWT) 檔案，也就是驗證權杖。

建立叢集

如要建立啟用 TDE 的叢集，您必須在資料庫初始化期間傳遞必要的 Key Management Service (KMS) 設定和驗證憑證。僅支援 jwt 驗證類型。

1. 使用 RPM 安裝 AlloyDB Omni，準備環境並安裝 AlloyDB Omni RPM 套件。

   注意： 請先不要初始化資料庫。

2. 初始化資料庫。

   注意： AlloyDB Omni 也支援檔案式 KMS。不過，我們建議僅用於測試，不適用於正式環境工作負載。

   HashiCorp Vault KMS

   請將這個方法用於正式環境工作負載。

   1. 執行下列指令，初始化已啟用 TDE 的資料庫：

      sudo PGPASSWORD=POSTGRES_PASSWORD \
      PGDATA=DATA_DIR \
      VAULT_AUTH_TYPE=jwt \
      VAULT_AUTH_MOUNT=JWT_AUTH_ENGINE_MOUNT \
      VAULT_JWT_PATH=JWT_FILE_PATH \
      VAULT_ROLE=VAULT_ROLE \
      VAULT_CERT_PATH=VAULT_CERT_PATH \
      POSTGRES_INITDB_ARGS="--tde-kek-url=KEK_URL" \
      /usr/lib/postgresql/18/bin/alloydbomniproduct_major_version_numeric-setup initdb

      更改下列內容：

      • POSTGRES_PASSWORD：資料庫使用者的密碼。
      • DATA_DIR：要掛接為 AlloyDB Omni 資料磁碟區的本機目錄，例如 /local/data。
      • JWT_AUTH_ENGINE_MOUNT：HashiCorp Vault 驗證引擎的掛接路徑，例如 /auth/jwt。
      • JWT_FILE_PATH：節點上儲存保管箱 JWT 的路徑，例如 tde-tls/jwt-token。
      • (選用) VAULT_ROLE：在保管箱設定中定義的用戶端角色，可讓 HashiCorp Vault 驗證 JWT 權杖的真實性。
      • VAULT_CERT_PATH：節點上 Vault 連線憑證所在的路徑，例如 /tde-tls。如未設定，系統會使用預設信任存放區中的憑證。
      • KEK_URL：HashiCorp Vault 中 KEK 的完整網址。使用 vault 做為通訊協定，將 HashiCorp Vault 指定為 KMS 供應商，例如 vault://127.0.0.1:8200/v1/secrets/data/alloydb_kek。

   2. 如要為 /etc/systemd/system/alloydbomni18.service.d/override.conf 中的 建立 alloydbomni18.service 的覆寫檔案，請將下列內容新增至 override.conf 檔案：

      [Service]
      Environment="VAULT_AUTH_TYPE=VAULT_AUTH_TYPE"
      Environment="VAULT_AUTH_MOUNT=JWT_AUTH_ENGINE_MOUNT"
      Environment="VAULT_JWT_PATH=JWT_FILE_PATH"
      Environment="VAULT_ROLE=VAULT_ROLE"
      Environment="VAULT_CERT_PATH=VAULT_CERT_PATH"

      更改下列內容：

      • VAULT_AUTH_TYPE：用於 Vault 連線的驗證類型。僅支援 jwt。
      • JWT_AUTH_ENGINE_MOUNT：HashiCorp Vault 驗證引擎的掛接路徑，例如 /auth/jwt。
      • JWT_FILE_PATH：節點上儲存保管箱 JWT 的路徑，例如 tde-tls/jwt-token。
      • (選用) VAULT_ROLE：在保管箱設定中定義的用戶端角色，可讓 HashiCorp Vault 驗證 JWT 權杖的真實性。
      • VAULT_CERT_PATH：節點上 Vault 連線憑證所在的路徑，例如 /tde-tls。如未設定，系統會使用預設信任存放區中的憑證。

   3. 如要套用變更，請重新載入 systemd 精靈。

      sudo systemctl daemon-reload

   檔案式 KMS

   請僅將此方法用於測試。

   如要使用檔案型金鑰在本機測試 TDE，您必須先在電腦上產生 32 位元組的 KEK。

   1. 建立目錄、產生金鑰，並設定適當權限。

      KEK_DIR=KEK_DIR
      mkdir -p $KEK_DIR
      sudo chown 999:999 $KEK_DIR
      openssl rand -base64 32 | sudo tee $KEK_DIR/key
      sudo chmod 0755 $KEK_DIR/key

   2. 將本機檔案 URI 做為 KEK 網址傳遞，藉此初始化資料庫。

      sudo PGPASSWORD=POSTGRES_PASSWORD \
      PGDATA=DATA_DIR \
      POSTGRES_INITDB_ARGS="--tde-kek-url=file:///$KEK_DIR/key" \
      /usr/lib/postgresql/18/bin/alloydbomniproduct_major_version_numeric-setup initdb

      更改下列內容：

      • POSTGRES_PASSWORD：資料庫使用者的密碼。
      • DATA_DIR：要掛接為 AlloyDB Omni 資料磁碟區的本機目錄，例如 /local/data。
      • KEK_DIR：儲存本機檔案 KEK 的目錄，例如 /tmp/alloydb/kms。

3. 資料庫初始化後，請按照「使用 RPM 安裝 AlloyDB Omni」中的操作說明準備資料庫、設定主機，以及啟動 systemd 服務。

4. 如要為溢出至 SSD 儲存空間的資料欄引擎快取資料啟用 TDE，請連線至資料庫執行個體，並執行下列查詢：

   ALTER SYSTEM SET google_columnar_engine.enable_tde_for_storage_cache = 'on';
   

5. 重新啟動資料庫伺服器，讓變更生效。

TDE 指標參考資料

您可以在 AlloyDB Omni 的監控代理程式中，查看所有 TDE 指標。下表說明各項指標。

名稱	說明	標籤	單位	類型
alloydb_omni_database_tde_data_blocks_decrypted_count_total	已解密的資料區塊數量。	不適用		計數器
alloydb_omni_database_tde_data_blocks_encrypted_count_total	已加密的資料區塊數量。	不適用		計數器
alloydb_omni_database_tde_data_decryption_time_us_total	解密資料區塊的總時間。	不適用	微秒	計數器
alloydb_omni_database_tde_data_encryption_time_us_total	資料區塊加密作業的總耗時。	不適用	微秒	counter
alloydb_omni_database_tde_enabled	TDE 啟用狀態。	不適用		取樣
alloydb_omni_database_tde_kek_info	TDE KEK 資訊。	kek_version：用於金鑰包裝的 KEK 版本。 kek_url：KMS 中 KEK 的完整路徑 kek_creation_timestamp： 使用中 KEK 版本的建立時間。		取樣
alloydb_omni_database_tde_temp_blocks_decrypted_count_total	已解密的暫時區塊數量。	不適用		計數器
alloydb_omni_database_tde_temp_blocks_encrypted_count_total	已加密的暫時區塊數量。	不適用		counter
alloydb_omni_database_tde_temp_decryption_time_us_total	解密暫時區塊的總時間。	不適用	微秒	計數器
alloydb_omni_database_tde_temp_encryption_time_us_total	暫時區塊加密所花費的總時間。	不適用	微秒	counter
alloydb_omni_database_tde_wal_blocks_decrypted_count_total	已解密的 WAL 區塊數量。	不適用		counter
alloydb_omni_database_tde_wal_blocks_encrypted_count_total	已加密的 WAL 區塊數量。	不適用		counter
alloydb_omni_database_tde_wal_decryption_time_us_total	解密 WAL 區塊的總時間。	不適用	微秒	counter
alloydb_omni_database_tde_wal_encryption_time_us_total	在 WAL 區塊加密中花費的總時間。	不適用	微秒	counter
tde_chill_cache_blocks_encrypted	已加密的冷快取區塊數量。	不適用		counter
tde_chill_cache_blocks_decrypted	已解密的冷快取區塊數量。	不適用		counter
tde_chill_cache_blocks_total_encryption_time_us	冷快取區塊加密的總時間。	不適用	微秒	counter
tde_chill_cache_blocks_total_decryption_time_us	解密冷快取區塊的總時間。	不適用	微秒	計數器
tde_ce_cache_ssd_blocks_encrypted	溢出至 SSD 儲存空間的資料欄快取區塊數量 (已加密)。	不適用		counter
tde_ce_cache_ssd_blocks_decrypted	已解密並溢出至 SSD 儲存空間的資料欄快取區塊數量。	不適用		計數器
tde_ce_cache_ssd_blocks_total_encryption_time_us	加密溢出至 SSD 儲存空間的資料欄快取區塊，所花費的總時間。	不適用	微秒	counter
tde_ce_cache_ssd_blocks_total_decryption_time_us	解密溢出至 SSD 儲存空間的資料欄快取區塊，所花費的總時間。	不適用	微秒	counter