Transparent Data Encryption Installation Guide

INSTALLERA POSTGRESQL 12.X TDE FRÅN KÄLLA

PostgreSQL 12.x TDE är en version av PostgreSQL som stöder transparent datakryptering. I många praktiska affärsfall är det nödvändigt att kryptera data på disken. PostgreSQL TDE har utformats för att göra exakt det på ett så effektivt sätt som möjligt.

Här visar vi dig hur du installerar PostgreSQL TDE från källan på Linux och Mac OS X genom att förklara följande steg:

1. Nedladdning av källkoden
2. Extrahera och konfigurera PostgreSQL 12 TDE
3. Sammanställa koden
4. Ställa in nyckelhantering
5. Skapa en databasinstans / -kluster

2. EXTRAKT OCH KONFIGURERA POSTGRESQL 12 TDE

När du har laddat ner filen kan du enkelt packa upp den. Så här fungerar det:

tar xvfz postgresql-12.3_TDE_1.0.tar.gz 

En katalog skapas som innehåller hela källkoden för PostgreSQL TDE. Ange katalogen och kör följande kommando:

För Mac OS X:

./configure --prefix=/Users/hs/pg12tde \ 
   --with-openssl \
   --with-perl \
   --with-python --with-ldap \
   CPPFLAGS="-I$(brew --prefix openssl)/include" \
   LDFLAGS="-L$(brew --prefix openssl)/lib"

⎟ Obs! På OS X är det vettigt att installera HomeBrew för att se till att du kan installera alla beroenden först för att kompilera koden. Det är det enklaste sättet att få all programvara att sammanställa och köra PostgreSQL.

För Linux:

På Linux är det ganska enkelt att kompilera PostgreSQL. Se till att alla beroenden som beskrivs i dokumentationen uppfylls. Kör sedan:

./configure --prefix=/usr/local/pg12tde --with-openssl --with-perl \
   --with-python --with-ldap

Om något går fel under konfigurationen är det mycket troligt att du har missat ett paket.

4. INSTÄLLNING AV NYCKELHANTERING

Nyckelhantering är en viktig aspekt. För att kryptera en databasinstans måste en nyckel till detta komma någonstans. När det gäller PostgreSQL TDE kommer nyckeln från ett flexibelt externt program. Helst kommer nyckeln INTE från det lokala filsystemet utan från en säker fjärrnyckellager.

Innan du skapar din databasinstans måste du skriva en kod för att se till att nyckeln kan läsas av databasen under start och instansskapande.

Här är det enklaste möjliga exemplet:

% cat /somewhere/provide_key.sh 
#!/bin/sh 
echo 882fb7c12e80280fd664c69d2d636913

Allt du behöver är ett program som skriver ut nyckeln till stdout – och det är det! Se till att PostgreSQL kan köra programmet:

 % chmod +x /somewhere/provide_key.sh 

⎟ Obs! Du behöver inte skriva ett skalskript – du kan använda någon typ av körbar som C, Go eller Python.

KRYPTERING BAKOM SCENERNA

Anledningen till att du inte behöver ytterligare parametrar är att initdb redan har lagt till konfigurationen i postgresql.conf åt dig:

 % grep encryption_key postgresql.conf 
 encryption_key_command = '/somewhere/provide_key.sh'

postgresql.conf har redan informationen för att hämta nyckeln vid start. Fördelen är att du inte behöver anpassa befintliga skript. Den enda ändringen du måste göra är att lägga till ytterligare en parameter till initdb. Et voilá – du är klar.

ÄR MIN DATABASSERVER KRYPTAD?

Den mest uppenbara och vanligaste frågan vid denna tidpunkt är: ”Är det verkligen allt? Hur kan jag räkna ut att min server verkligen är krypterad?” För att göra det kan du använda pg_controldata, som är ett program som extraherar användbar information från din databasserver. Tänk på att pg_controldata INGENTING har att göra med TDE – det finns det ändå.

När det gäller PostgreSQL TDE producerar pg_controldata lite mer information än vanligt:

 % pg_controldata /some_where/ | grep -i encryp
 Data encryption:           on
 Data encryption fingerprint:          740A905130FE614CE0BE36B612157A09

Som du kan se är kryptering på och dina data är säkra.

Men om du inte har tillgång till maskinen via SSH finns det ett andra sätt att se om data är krypterade:

 test=# SHOW data_encryption;
  data_encryption 
 ----------------
  on
 (1 row)

PostgreSQL TDE erbjuder en ytterligare variabel. data_encryption på / av kommer också att berätta om databasen har krypterats eller inte.