Resolver problemas de criptografia de dados transparente

Selecione uma versão da documentação:

Nesta página, descrevemos como solucionar problemas de criptografia de dados transparente (TDE, na sigla em inglês) no AlloyDB Omni.

Recuperar registros de solução de problemas

Para solucionar problemas de TDE, é possível coletar registros dependendo do tipo de implantação.

Colete os registros do systemd para o serviço do AlloyDB Omni e filtre as mensagens relacionadas à TDE:

sudo journalctl -u alloydbomni18 | grep "TDE"

Os registros podem conter entradas como as seguintes:

  • TDE: TdeContext initialization failed
  • TDE: Vault server unreachable
  • TDE: CipherTrust request failed
  • TDE: Certificate expired

Cenários de erro

Esta seção descreve cenários comuns de erro de TDE e fornece correções sugeridas.

Erros de JWT (HashiCorp Vault)

Se você encontrar falhas de autenticação ou inicialização do HashiCorp Vault nos registros coletados, elas geralmente estão relacionadas a problemas de JSON Web Token (JWT).

Descrição

Você pode encontrar erros como os seguintes:

Erro Descrição Motivo
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: JWT cannot be empty JWT não encontrado ou vazio O token JWT está ausente ou vazio.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: Invalid JWT format. Expected JWS compact serialization (three dot-separated segments: header, payload, and signature) with base64url encoded values. Formato JWT malformado O token JWT não está no formato de serialização compacta JWS correto.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: Vault request failed with HTTP code: 400, Vault errors: ["error validating token: invalid expiration time (exp) claim: token is expired"] JWT expirado O token JWT expirou.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 3, error message: Vault request failed with HTTP code: 400, Vault errors: ["error validating token: error verifying token signature: failed to verify id token signature"] Assinatura JWT inválida O servidor do Vault não conseguiu verificar a assinatura do token JWT.
TDE: Failed to register Key Store with URL: VAULT_URL, error code: 9, error message: Failed to get Vault configuration parameter 'VAULT_JWT' Problema de permissão O AlloyDB Omni não tem permissão para ler o arquivo de token JWT ou a variável de ambiente VAULT_JWT não está definida.

Para resolver problemas de JWT:

  1. Recupere o JWT ativo:

    Verifique se o caminho do token JWT está definido na configuração do ambiente ou do serviço, por exemplo, em override.conf:

    cat PATH_TO_JWT_FILE

    Substitua PATH_TO_JWT_FILE pelo caminho do token JWT no host.

  2. Examine a estrutura do JWT: verifique se o token é válido e está em conformidade com o formato de serialização compacta do JWT.

  3. Verifique o estado do token: verifique se o token está ativo e não expirou.

Erros de credenciais do CipherTrust (Thales CipherTrust Manager)

Se você encontrar falhas de autenticação ou inicialização do Thales CipherTrust Manager nos registros coletados, elas geralmente são causadas por credenciais de usuário ausentes ou inválidas (username e password).

Descrição

Você pode encontrar erros como os seguintes:

Erro Descrição Motivo
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 3, error message: CipherTrust user cannot be empty Nome de usuário ausente A variável de ambiente CIPHERTRUST_USER ou a chave username no Secret do Kubernetes está vazia.
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 3, error message: CipherTrust password cannot be empty Senha ausente A variável de ambiente CIPHERTRUST_PASSWORD ou a chave password no Secret do Kubernetes está vazia.
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 9, error message: Failed to get CipherTrust configuration parameter 'CIPHERTRUST_USER'
Or
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 9, error message: Failed to get CipherTrust configuration parameter 'CIPHERTRUST_PASSWORD'		 Variável de ambiente não definida A variável de ambiente CIPHERTRUST_USER ou CIPHERTRUST_PASSWORD está ausente.
TDE: Failed to register Key Store with URL: CIPHERTRUST_URL, error code: 16, error message: CipherTrust request failed with HTTP code: 401 Credenciais inválidas O username ou password foi rejeitado pelo endpoint de autenticação do Thales CipherTrust Manager (/api/v1/auth/tokens).

Verifique se CIPHERTRUST_USER e CIPHERTRUST_PASSWORD estão configurados em /etc/systemd/system/alloydbomni18.service.d/override.conf:

systemctl show alloydbomni18 -p Environment

Erros de URL do KMS

Se o banco de dados não for inicializado ou inicializado, isso poderá ocorrer devido a um URL de chave de criptografia de chave (KEK) do serviço de gerenciamento de chaves (KMS) mal configurado.

Descrição

Você pode encontrar erros como os seguintes:

Erro Descrição Motivo
TDE: Failed to register Key Store with URL: KMS_URL, error code: 12, error message: Unsupported key store type Tipo de keystore não compatível Ocorre quando o protocolo de URL da KEK não é vault ou ciphertrust. Por exemplo, usar http:// ou https:// em vez de vault:// ou ciphertrust:// ou omitir o esquema completamente.
TDE: Failed to register Key Store with URL: KMS_URL, error code: 3, error message: Invalid Vault address format. Expected hostname or hostname:port
Or
TDE: Failed to register Key Store with URL: KMS_URL, error code: 3, error message: Invalid CipherTrust address format. Expected hostname or hostname:port		 Formato de endereço KMS inválido Ocorre quando a parte do endereço KMS do URL está formatada incorretamente. Por exemplo, se ele incluir o esquema de protocolo novamente, como vault://https://vault.example.com:8200/... ou ciphertrust://https://ciphertrust.example.com:443/....
TDE: Failed to read KEK, error code: 3, error message: Invalid key path format. Must start with '/', not end with '/', and contain only valid characters Formato de caminho de chave inválido Ocorre quando a parte do caminho do URL do KMS está malformada. O caminho precisa começar com uma barra / e não pode terminar com uma barra.
TDE: Failed to register Key Store with URL: KMS_URL, error code: 13, error message: curl_easy_perform() failed: Could not resolve hostname Falha na resolução do nome do host Ocorre quando o nome do host KMS no URL da KEK não pode ser resolvido. Isso pode acontecer se o URL estiver malformado ou se houver um problema de configuração de DNS.
  • Verifique o esquema de URL da KEK: verifique se o URL começa com vault:// (para o HashiCorp Vault) ou ciphertrust:// (para o Thales CipherTrust Manager). Não use https:// como prefixo.
    • Correto (Vault): vault://vault.example.com:8200/v1/secret/data/key
    • Correto (CipherTrust): ciphertrust://ciphertrust.example.com:443/api/v1/vault/secrets/key
    • Incorreto: https://vault.example.com:8200/v1/secret/data/key
  • Verifique o formato do endereço: verifique se o host e a porta estão especificados corretamente imediatamente após o prefixo vault:// ou ciphertrust://.
  • Verifique a formatação do caminho: verifique se o caminho começa com / e não tem uma barra (por exemplo, use /v1/secret/data/key para o HashiCorp Vault ou /api/v1/vault/secrets/key para o Thales CipherTrust Manager, sem uma barra /).
  • Verifique a resolução do host: verifique se o nome do host KMS especificado no URL está correto e se ele pode ser resolvido no servidor de banco de dados.

KEK não codificado em base64

Se a KEK armazenada no KMS externo não estiver codificada corretamente em base64, o AlloyDB Omni não vai conseguir decodificá-la após a recuperação. Isso impede que ele desencapsule as chaves de criptografia de dados (DEKs) locais e causa uma falha de inicialização.

Descrição

Você pode encontrar erros como os seguintes nos registros de diagnóstico do banco de dados (postgresql.log):

Erro Descrição Motivo
TDE: Failed to read KEK, error code: 13, error message: Error decoding base64 key string Erro ao decodificar a string de chave base64 Ocorre quando o gerenciador de chaves tenta decodificar o secret recuperado do KMS usando Base64, mas a string não é um Base64 válido.
  • Recupere o valor da KEK: recupere e inspecione o valor da KEK diretamente do KMS (HashiCorp Vault ou Thales CipherTrust Manager).
  • Atualize o valor no KMS: verifique se a KEK armazenada no KMS está codificada em base64. Se ela estiver armazenada como binário bruto ou texto simples, atualize o valor no KMS com o equivalente codificado em base64.
    1. Converta a chave bruta em Base64: 
      echo -n "RAW_KEY" | base64
       Substitua <var>RAW_KEY</var> pelo valor da chave não codificada.
    2. Atualize o secret no KMS para a string codificada em base64 gerada.

Versão da KEK ausente no KMS

O erro de versão da KEK ausente ocorre quando o AlloyDB Omni tenta desencapsular DEKs locais usando uma versão histórica específica da KEK, mas essa versão é excluída, destruída ou ausente no KMS externo. Isso é mais comum durante operações de restauração de backup ou inicialização de réplica em espera.

Descrição

Você pode encontrar erros como os seguintes nos registros de diagnóstico do banco de dados (postgresql.log):

Erro Descrição Motivo
TDE: Failed to read KEK, error code: 5, error message: Vault request failed with HTTP code: 404, Response body: {... "destroyed":true, "version":4 ...}
Or
TDE: Failed to read KEK, error code: 5, error message: CipherTrust request failed with HTTP code: 404, CipherTrust error: "NCERRResourceNotFound: ..."		 Versão da chave ausente ou destruída A versão da KEK solicitada está ausente, excluída ou destruída permanentemente no KMS.
  • Verifique a versão da KEK no KMS: verifique se a versão da KEK solicitada está presente e ativa (não excluída ou destruída) no KMS.
  • Restaure a versão da KEK ausente: restaure ou recupere a versão da KEK solicitada no KMS se ela tiver sido excluída, mas não destruída.
  • Gerenciar chaves destruídas: se a versão da chave solicitada for destruída permanentemente no KMS, os dados ou o backup criptografados nessa versão não poderão ser recuperados.

Certificados TLS ou SSL inválidos ou ausentes

O erro de certificado TLS ou certificado SSL inválido ou ausente ocorre quando o AlloyDB Omni não consegue estabelecer uma conexão TLS segura com o KMS externo (HashiCorp Vault ou Thales CipherTrust Manager) porque os certificados estão ausentes, expirados, não confiáveis ou mal configurados.

Descrição

Você pode encontrar erros como os seguintes nos registros de diagnóstico do banco de dados (postgresql.log):

Erro Descrição Motivo
TDE: Failed to read KEK, error code: 13, error message: curl_easy_perform() failed: SSL peer certificate or SSH remote key was not OK
Or
TDE: Failed to read KEK, error code: 13, error message: curl_easy_perform() failed: Peer certificate cannot be authenticated with given CA certificates		 Falha na verificação do certificado do servidor KMS Não é possível verificar o certificado do servidor KMS usando o certificado de CA fornecido.
TDE: Failed to register Key Store with URL: KMS_URL, error code: 13, error message: curl_easy_perform() failed: Problem with the local SSL certificate Problema de certificado SSL local Ocorre se um certificado do cliente for necessário e tiver problemas.

Para resolver problemas de verificação de TLS, verifique se os certificados corretos são fornecidos, montados e legíveis pelo usuário postgres.

O Linux espera que os certificados sejam fornecidos no caminho especificado na variável de ambiente VAULT_CERT_PATH (para o HashiCorp Vault) ou CIPHERTRUST_CERT_PATH (para o Thales CipherTrust Manager).

  1. Confirme se VAULT_CERT_PATH ou CIPHERTRUST_CERT_PATH está definido corretamente na substituição do ambiente ou do serviço:

    systemctl show alloydbomni18 -p Environment

  2. Verifique se os arquivos de certificado existem e podem ser lidos pelo usuário postgres:

    ls -la CERT_PATH

    Verifique se os nomes de arquivo ca.crt, tls.crt e tls.key estão presentes e se eles têm permissões de leitura para o usuário postgres.

Substitua CERT_PATH pelo caminho para o diretório de certificados TLS no host (por exemplo, /tde-tls).