凯·瓦格纳：使用 pg_tde 保护您的 PostgreSQL 数据库：安全可靠
内容提要
Percona发布了pg_tde的技术预览版，这是一个为PostgreSQL提供透明数据加密功能的开源扩展。pg_tde与传统加密方法不同，可以无缝集成到PostgreSQL中，在不中断工作流程的情况下对表级数据进行加密。它提供了堆表的加密、复制支持和旋转主密钥等功能，用户可以为每个数据库单独定制加密设置。Percona计划根据社区反馈对pg_tde进行改进和增强。
延伸解读
技术预览版的定位与使用建议
pg_tde 目前是技术预览版，并非正式生产版本。Percona 明确表示将根据社区反馈进行改进，并计划后续加入索引加密功能。因此，现阶段更适合在测试环境中评估其表级加密、复制支持和密钥轮换等能力，而不建议直接部署到关键生产数据库。
密钥管理方式的选择与安全权衡
pg_tde 支持将加密密钥存储在 Hashicorp Vault 服务器或本地密钥环文件中。文章指出本地密钥环文件主要用于开发目的，而通过外部文件或 HTTP(S) 请求获取密钥环参数可避免在未加密目录中存储机密。生产环境应优先考虑 Vault 等外部密钥管理方案。
按数据库定制加密的灵活性
pg_tde 允许为每个数据库单独定义密钥环配置，并支持动态修改而无需重启服务器。这意味着同一 PostgreSQL 实例中，可以选择性地加密部分数据库，而其他数据库保持非加密状态。这种细粒度控制有助于在安全需求与运维复杂度之间取得平衡。
合规与安全标准的辅助价值
文章提到，通过轮换主密钥可以降低长期暴露于潜在攻击的风险，并有助于满足 GDPR、HIPAA 和 PCI DSS 等安全标准。对于受监管行业，pg_tde 提供的透明加密和密钥轮换能力可作为合规工作的技术支撑，但具体合规性仍需结合整体安全实践评估。
Q&A
pg_tde是什么，它的主要功能是什么？
pg_tde是Percona开发的开源扩展，为PostgreSQL提供透明数据加密功能，主要功能包括堆表加密、复制支持和主密钥旋转等。
使用pg_tde进行数据加密是否会影响现有工作流程？
使用pg_tde进行数据加密不会影响现有工作流程，因为它可以无缝集成到PostgreSQL中。
如何安装pg_tde？
安装pg_tde很简单，用户可以克隆GitHub仓库，使用提供的Makefile构建扩展，或下载预构建的rpm和deb包。
pg_tde如何增强PostgreSQL的安全性？
pg_tde通过支持主密钥旋转和为每个数据库定制加密设置来增强PostgreSQL的安全性，降低长期暴露风险。
pg_tde支持哪些加密密钥存储方式？
pg_tde支持将加密密钥存储在Hashicorp Vault服务器或本地密钥环文件中。
Percona对pg_tde未来有什么计划？
Percona计划根据社区反馈进一步改进pg_tde，包括增加索引加密功能。
