Percona的PostgreSQL pg_tde扩展：三月更新
内容提要
Percona的pg_tde项目旨在解决PostgreSQL相对于商业数据库缺乏透明数据加密的问题。该扩展允许用户加密特定的表和数据，并使用HashiCorp Vault来管理外部密钥。TDE提供了数据静态和动态安全，确保符合安全标准。Percona Distribution for PostgreSQL提供了可靠的企业级组件，用于可靠的PostgreSQL部署。
延伸解读
pg_tde 的密钥管理机制
pg_tde 采用两层密钥体系：每个加密表拥有唯一的数据库密钥，用于加密表数据；而数据库密钥又由主密钥加密，主密钥通过 HashiCorp Vault 外部管理。这种设计将主密钥与数据分离，即使数据库文件泄露，攻击者也无法直接解密数据，除非同时获取 Vault 中的主密钥。目前仅支持 Vault 的 KV Secrets Engine 版本 2，这意味着用户需要部署和维护 Vault 环境。
加密范围与元数据可见性
pg_tde 允许用户选择性地加密特定表，而非整个数据库。加密表的数据、TOAST 表以及对应的 WAL 日志都会被加密，临时表也会在数据表加密时一并加密。但加密表的元数据（如表结构、列定义）并不加密，因此标准 PostgreSQL 工具仍可正常操作，这降低了使用门槛，但也意味着元数据可能暴露部分信息。
TDE 的合规价值与适用场景
对于需要满足 HIPAA、PCI DSS、SOC 2、ISO 27001 等安全标准的组织，pg_tde 提供了数据静态和动态加密的能力，有助于合规。DBA 可以精确控制加密哪些表以及使用何种密钥。虽然存储层加密也能提供一定保护，但 TDE 与存储加密结合可增加额外安全层。不过，pg_tde 目前仍在开发中，Percona 鼓励用户下载测试并反馈问题。
Q&A
pg_tde扩展的主要功能是什么？
pg_tde扩展允许用户加密特定的表和数据，并使用HashiCorp Vault管理外部密钥。
如何获取pg_tde扩展？
pg_tde文档提供多种获取方式，包括Docker镜像、RPM、DEB和源代码。
pg_tde如何确保数据安全？
pg_tde使用数据库密钥和主密钥来加密用户数据，确保数据在静态和动态状态下的安全，符合HIPAA、PCI DSS等安全标准。
加密表的元数据会被加密吗？
加密表的元数据不被加密，标准PostgreSQL工具仍可使用。
pg_tde扩展支持哪些类型的密钥？
pg_tde使用数据库密钥和主密钥，主密钥由HashiCorp Vault管理。
使用pg_tde创建的表的预写日志数据会被加密吗？
使用pg_tde创建的表的预写日志（WAL）数据也会被加密。
