Memecahkan masalah enkripsi data transparan

Pilih versi dokumentasi:

Halaman ini menjelaskan cara memecahkan masalah enkripsi data transparan (TDE) di AlloyDB Omni.

Mengambil log pemecahan masalah

Untuk memecahkan masalah TDE, Anda dapat mengumpulkan log bergantung pada jenis deployment Anda.

Kumpulkan log systemd untuk layanan AlloyDB Omni dan filter pesan terkait TDE:

sudo journalctl -u alloydbomni18 | grep "TDE"

Log mungkin berisi entri seperti berikut:

  • TDE: TdeContext initialization failed
  • TDE: Vault server unreachable
  • TDE: CipherTrust request failed
  • TDE: Certificate expired

Skenario error

Bagian ini menjelaskan skenario error TDE umum dan memberikan perbaikan yang disarankan.

Error JWT (HashiCorp Vault)

Jika Anda melihat kegagalan autentikasi atau inisialisasi HashiCorp Vault di log yang dikumpulkan, kegagalan tersebut sering kali terkait dengan masalah Token Web JSON (JWT).

Deskripsi

Anda mungkin melihat error seperti berikut:

Error Deskripsi Alasan
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: JWT cannot be empty JWT tidak ditemukan atau kosong Token JWT tidak ada atau kosong.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: Invalid JWT format. Expected JWS compact serialization (three dot-separated segments: header, payload, and signature) with base64url encoded values. Format JWT salah Token JWT tidak dalam format serialisasi ringkas JWS yang benar.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: Vault request failed with HTTP code: 400, Vault errors: ["error validating token: invalid expiration time (exp) claim: token is expired"] JWT yang sudah tidak berlaku Masa berlaku token JWT telah berakhir.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: Vault request failed with HTTP code: 400, Vault errors: ["error validating token: error verifying token signature: failed to verify id token signature"] Tanda tangan JWT tidak valid Server Vault tidak dapat memverifikasi tanda tangan token JWT.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 9, error message: Failed to get Vault configuration parameter 'VAULT_JWT' Masalah izin AlloyDB Omni tidak memiliki izin untuk membaca file token JWT, atau variabel lingkungan VAULT_JWT tidak ditetapkan.

Untuk mengatasi masalah JWT:

  1. Mengambil JWT aktif:

    Pastikan jalur token JWT ditentukan dalam konfigurasi keamanan lingkungan atau layanan Anda, misalnya, di override.conf:

    cat PATH_TO_JWT_FILE

    Ganti PATH_TO_JWT_FILE dengan jalur ke token JWT Anda di host.

  2. Periksa struktur JWT: Pastikan token valid dan sesuai dengan format serialisasi ringkas JWT.

  3. Verifikasi status token: Pastikan token aktif dan belum berakhir.

Error kredensial CipherTrust (Thales CipherTrust Manager)

Jika Anda melihat kegagalan autentikasi atau inisialisasi Thales CipherTrust Manager dalam log yang dikumpulkan, kegagalan tersebut biasanya disebabkan oleh kredensial pengguna yang tidak ada atau tidak valid (username dan password).

Deskripsi

Anda mungkin melihat error seperti berikut:

Error Deskripsi Alasan
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 3, error message: CipherTrust user cannot be empty Nama pengguna tidak ada Variabel lingkungan CIPHERTRUST_USER atau kunci username di Secret Kubernetes kosong.
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 3, error message: CipherTrust password cannot be empty Sandi tidak ada Variabel lingkungan CIPHERTRUST_PASSWORD atau kunci password di Secret Kubernetes kosong.
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 9, error message: Failed to get CipherTrust configuration parameter 'CIPHERTRUST_USER'
Atau
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 9, error message: Failed to get CipherTrust configuration parameter 'CIPHERTRUST_PASSWORD'		 Variabel lingkungan tidak ditetapkan Variabel lingkungan CIPHERTRUST_USER atau CIPHERTRUST_PASSWORD tidak ada.
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 16, error message: CipherTrust request failed with HTTP code: 401 Kredensial tidak valid username atau password ditolak oleh endpoint autentikasi Thales CipherTrust Manager (/api/v1/auth/tokens).

Pastikan CIPHERTRUST_USER dan CIPHERTRUST_PASSWORD dikonfigurasi di /etc/systemd/system/alloydbomni18.service.d/override.conf:

systemctl show alloydbomni18 -p Environment

Error URL KMS

Jika database gagal diinisialisasi atau di-boot, hal ini mungkin disebabkan oleh URL Key Encryption Key (KEK) Key Management Service (KMS) yang salah dikonfigurasi.

Deskripsi

Anda mungkin melihat error seperti berikut:

Error Deskripsi Alasan
TDE: Failed to register Key Store with URL: KMS_URL, error code: 12, error message: Unsupported key store type Jenis penyimpanan kunci tidak didukung Terjadi saat protokol URL KEK bukan vault atau ciphertrust. Misalnya, menggunakan http:// atau https://, bukan vault:// atau ciphertrust://, atau menghapus skema sepenuhnya.
TDE: Failed to register Key Store with URL: KMS_URL, error code: 3, error message: Invalid Vault address format. Expected hostname or hostname:port
Atau
TDE: Failed to register Key Store with URL: KMS_URL, error code: 3, error message: Invalid CipherTrust address format. Expected hostname or hostname:port		 Format alamat KMS tidak valid Terjadi jika bagian alamat KMS dari URL salah diformat. Misalnya, jika URL menyertakan skema protokol lagi, seperti vault://https://vault.example.com:8200/... atau ciphertrust://https://ciphertrust.example.com:443/....
TDE: Failed to read KEK, error code: 3, error message: Invalid key path format. Must start with '/', not end with '/', and contain only valid characters Format jalur kunci tidak valid Terjadi jika bagian jalur URL KMS memiliki format yang salah. Jalur harus diawali dengan garis miring / dan tidak boleh diakhiri dengan garis miring di akhir.
TDE: Failed to register Key Store with URL: KMS_URL, error code: 13, error message: curl_easy_perform() failed: Could not resolve hostname Kegagalan resolusi nama host Terjadi saat nama host KMS di URL KEK tidak dapat di-resolve. Masalah ini dapat terjadi jika URL salah bentuk atau jika ada masalah konfigurasi DNS.
  • Verifikasi skema URL KEK: Pastikan URL diawali dengan vault:// (untuk HashiCorp Vault) atau ciphertrust:// (untuk Thales CipherTrust Manager). Jangan gunakan https:// sebagai awalan.
    • Benar (Vault): vault://vault.example.com:8200/v1/secret/data/key
    • Benar (CipherTrust): ciphertrust://ciphertrust.example.com:443/api/v1/vault/secrets/key
    • Salah: https://vault.example.com:8200/v1/secret/data/key
  • Periksa format alamat: Pastikan host dan port ditentukan dengan benar segera setelah awalan vault:// atau ciphertrust://.
  • Verifikasi format jalur: Pastikan jalur dimulai dengan / dan tidak memiliki garis miring di akhir (misalnya, gunakan /v1/secret/data/key untuk HashiCorp Vault atau /api/v1/vault/secrets/key untuk Thales CipherTrust Manager, tanpa / di akhir).
  • Verifikasi penyelesaian host: Pastikan nama host KMS yang ditentukan dalam URL sudah benar dan dapat diselesaikan dari dalam server database.

KEK tidak dienkode base64

Jika KEK yang disimpan di KMS eksternal Anda tidak dienkode base64 dengan benar, AlloyDB Omni gagal mendekodenya saat diambil. Hal ini mencegahnya membuka kunci Enkripsi Data (DEK) lokal dan menyebabkan kegagalan booting.

Deskripsi

Anda mungkin melihat error seperti berikut di log diagnostik database (postgresql.log):

Error Deskripsi Alasan
TDE: Failed to read KEK, error code: 13, error message: Error decoding base64 key string Terjadi error saat mendekode string kunci base64 Terjadi saat pengelola kunci mencoba mendekodekan secret yang diambil dari KMS menggunakan Base64, tetapi stringnya bukan Base64 yang valid.
  • Ambil nilai KEK: Ambil dan periksa nilai KEK langsung dari KMS Anda (HashiCorp Vault atau Thales CipherTrust Manager).
  • Perbarui nilai di KMS: Pastikan KEK yang disimpan di KMS Anda dienkode dengan base64. Jika disimpan sebagai biner mentah atau teks biasa, perbarui nilai di KMS dengan nilai yang setara yang dienkode base64.
    1. Konversi kunci mentah ke Base64: 
      echo -n "RAW_KEY" | base64
       Ganti <var>RAW_KEY</var> dengan nilai kunci yang tidak dienkode.
    2. Perbarui rahasia di KMS Anda ke string berenkode base64 yang dihasilkan.

Versi KEK tidak ada di KMS

Error versi KEK tidak ada terjadi saat AlloyDB Omni mencoba membuka DEK lokal menggunakan versi historis tertentu dari KEK, tetapi versi tersebut dihapus, dihancurkan, atau tidak ada di KMS eksternal. Hal ini paling umum terjadi selama operasi pemulihan cadangan atau inisialisasi replika standby.

Deskripsi

Anda mungkin melihat error seperti berikut di log diagnostik database (postgresql.log):

Error Deskripsi Alasan
TDE: Failed to read KEK, error code: 5, error message: Vault request failed with HTTP code: 404, Response body: {... "destroyed":true, "version":4 ...}
Atau
TDE: Failed to read KEK, error code: 5, error message: CipherTrust request failed with HTTP code: 404, CipherTrust error: "NCERRResourceNotFound: ..."		 Versi kunci tidak ada atau dihancurkan Versi KEK yang diminta tidak ada, dihapus, atau dihancurkan secara permanen di KMS.
  • Verifikasi versi KEK di KMS: Pastikan versi KEK yang diminta ada dan aktif (tidak dihapus atau dihancurkan) di KMS Anda.
  • Pulihkan versi KEK yang hilang: Pulihkan atau batalkan penghapusan versi KEK yang diminta di KMS Anda jika versi tersebut telah dihapus, tetapi belum dihancurkan.
  • Menangani kunci yang dihancurkan: Jika versi kunci yang diminta dihancurkan secara permanen di KMS Anda, data atau cadangan yang dienkripsi dengan versi tersebut tidak akan dapat dipulihkan secara permanen.

Sertifikat TLS atau SSL buruk atau tidak ada

Error sertifikat TLS atau SSL yang buruk atau tidak ada terjadi saat AlloyDB Omni tidak dapat membuat koneksi TLS yang aman ke KMS eksternal Anda (HashiCorp Vault atau Thales CipherTrust Manager) karena sertifikat tidak ada, sudah tidak berlaku, tidak tepercaya, atau salah dikonfigurasi.

Deskripsi

Anda mungkin melihat error seperti berikut di log diagnostik database (postgresql.log):

Error Deskripsi Alasan
TDE: Failed to read KEK, error code: 13, error message: curl_easy_perform() failed: SSL peer certificate or SSH remote key was not OK
Atau
TDE: Failed to read KEK, error code: 13, error message: curl_easy_perform() failed: Peer certificate cannot be authenticated with given CA certificates		 Verifikasi sertifikat server KMS gagal Sertifikat server KMS tidak dapat diverifikasi menggunakan sertifikat CA yang diberikan.
TDE: Failed to register Key Store with URL: KMS_URL, error code: 13, error message: curl_easy_perform() failed: Problem with the local SSL certificate Masalah sertifikat SSL lokal Terjadi jika sertifikat klien diperlukan dan mengalami masalah.

Untuk menyelesaikan masalah verifikasi TLS, pastikan sertifikat yang benar disediakan, dipasang, dan dapat dibaca oleh pengguna postgres.

Linux mengharapkan sertifikat disediakan di jalur yang ditentukan dalam variabel lingkungan VAULT_CERT_PATH (untuk HashiCorp Vault) atau CIPHERTRUST_CERT_PATH (untuk Thales CipherTrust Manager).

  1. Pastikan VAULT_CERT_PATH atau CIPHERTRUST_CERT_PATH ditetapkan dengan benar di lingkungan atau penggantian layanan Anda:

    systemctl show alloydbomni18 -p Environment

  2. Periksa apakah file sertifikat ada dan dapat dibaca oleh pengguna postgres:

    ls -la CERT_PATH

    Pastikan nama file ca.crt, tls.crt, dan tls.key ada dan memiliki izin baca untuk pengguna postgres.

Ganti CERT_PATH dengan jalur ke direktori sertifikat TLS di host Anda (misalnya, /tde-tls).