AlloyDB Omni 的透明資料加密

選取文件版本：

如要保護機密資訊並符合嚴格的法規遵循規定，但不想修改應用程式程式碼，請使用資料庫透明加密 (TDE) 功能，保護 AlloyDB Omni 中的靜態資料。本總覽說明 TDE 如何在資料庫檔案、記錄和快取寫入磁碟前自動加密，確保深入防護，同時將作業負擔降到最低。

金鑰階層結構

AlloyDB Omni 實作雙層金鑰階層結構，在資料庫和使用者管理的安全性基礎架構之間，嚴格劃分分散權責。

  • 資料加密金鑰 (DEK)：由 AlloyDB Omni 產生及擁有的金鑰。這些金鑰會加密實際資料檔案、WAL 和暫存檔案。AlloyDB Omni 會將 DEK 儲存在磁碟上，但會以 KEK 包裝。
  • 金鑰加密金鑰 (KEK)：您在外部金鑰管理服務 (KMS) 中管理的主要金鑰。AlloyDB Omni 會使用 KEK 加密 DEK。 AlloyDB Omni 只會在啟動時存取這個金鑰，以解開 DEK 的包裝。您的 KEK 絕不會永久儲存在資料庫磁碟上。
    • KEK 的位置和存取參數會透過環境變數和 --tde-kek-url 初始化旗標提供。

TDE 如何搭配 AlloyDB Omni 運作

啟用 TDE 後，AlloyDB Omni 會使用與外部 KMS 整合的分層加密模型，保護您的資料。

  • 初始化和金鑰擷取：在叢集的啟動或初始化階段，AlloyDB Omni 引擎會與 KMS 建立安全連線。並使用 JSON Web Token (JWT) 進行驗證，然後擷取 KEK。
  • 解開 DEK 包裝：AlloyDB Omni 會使用 KEK 解開 DEK 包裝，這些 DEK 會以包裝狀態儲存在本機儲存空間。然後將這些 DEK 載入記憶體。
  • 透明的資料作業：
    • 寫入磁碟：資料庫將資料區塊、WAL 記錄或暫時檔案寫入實體磁碟時，會先使用 AES-256 演算法自動加密資料，再寫入磁碟。
    • 從磁碟讀取：資料庫需要將資料讀取到記憶體時，會使用記憶體中的 DEK 自動解密區塊。
    • 快取加密：TDE 也支援磁碟快取，包括儲存在快取中的資料欄引擎資訊。寫入冷快取儲存層的資料會經過加密，溢出至直欄引擎 SSD 快取的資料也會先加密，再寫入 SSD，並在讀取時解密。

  • 效能最佳化：TDE 包含最佳化功能，可在保護資料的同時維持高效能。這項技術會針對資料區塊和快取使用最佳化的 AES-256-XTS 保護機制，並採用同步寫入最佳化功能，盡可能縮短快速路徑的延遲時間。

  • 安全界線：您的 KEK 絕不會儲存在本機資料庫磁碟上，確保即使實體儲存媒體遭到入侵，未經授權存取外部保存庫的人也無法解讀資料。

加密範圍和規格

AlloyDB Omni 使用業界標準的 AES-256 演算法保護資料。

  • 資料檔案 (資料表和索引)：AES-256-XTS。
  • 預寫記錄 (WAL)：AES-256-CTR。
  • 暫時檔案：視暫時資料類型而定，採用 AES-256-XTS 或 AES-256-CTR。
  • 資料欄引擎快取檔案：AES-256-XTS。
  • Chill 快取檔案：AES-256-XTS。
  • 金鑰封裝：AES-256-KWP。

備份與高可用性

啟用 TDE 後，使用 pgBackRest 建立的備份會沿用來源叢集的加密設定。確保備份資料與主要資料庫享有同等安全防護。

備份只能還原至可使用相同 KEK 的叢集。

如果是高可用性設定，必須使用相同的保存庫環境變數初始化復原環境。所有參與主機都必須提供保管庫環境變數。

支援的 KMS 和驗證

AlloyDB Omni 支援 HashiCorp Vault 做為外部 KMS 提供者。AlloyDB Omni 僅支援 KV-V2 密鑰引擎，且唯一支援的驗證方法是 JWT。

注意：AlloyDB Omni 支援以檔案為基礎的 KMS。不過，建議您僅將這項功能用於測試，不要用於正式環境工作負載。

PostgreSQL 工具相容性

啟用 TDE 的叢集支援所有內建 PostgreSQL 工具，但 initdb 除外，可透過環境變數以透明方式運作。如果您使用 initdb，請務必明確傳遞 KEK 網址。詳情請參閱「建立啟用 TDE 的叢集」。

限制

  • 您無法在現有叢集上啟用 TDE。
  • 啟用後即無法停用。
  • 啟用 TDE 的叢集不支援升級主要版本。
  • 您無法將加密備份還原至未加密的伺服器，也無法將未加密的備份還原至加密伺服器。
  • 不支援 DEK 輪替。
  • 只要 KEK 網址路徑維持不變，系統就支援 KEK 輪替。
  • 您無法使用「FILE_COPY」策略CREATE DATABASE。
  • 在啟用 TDE 的叢集上，Barman 備份僅支援 rsync 模式。系統不支援postgres備份方法。
  • 只有外部金鑰管理系統 (KMS) 供應商為 HashiCorp Vault 時，才支援金鑰加密金鑰 (KEK) 輪替。

後續步驟