Percona Database Performance Blog
·
网络研讨会问答：不再需要变通方案：开源PostgreSQL TDE已来
内容提要
感谢参加我的网络研讨会“开源PostgreSQL TDE已来”。pg_tde管理加密密钥，支持表级加密，但不支持列级加密。作为扩展，pg_tde尚未纳入PostgreSQL社区版。它支持云到本地的数据库迁移，并在合规性中发挥重要作用。性能影响较小，但重加密大表时需注意资源消耗。
关键要点
-
感谢参加网络研讨会“开源PostgreSQL TDE已来”。
-
pg_tde管理加密密钥，支持表级加密，但不支持列级加密。
-
pg_tde作为扩展尚未纳入PostgreSQL社区版，依赖于代码修改。
-
pg_tde 1.0 GA版本已默认包含在Percona Distribution for PostgreSQL中。
-
pg_tde支持从云环境迁移到本地环境的数据库。
-
在受监管行业中，加密是HIPAA合规的重要组成部分，但需结合全面的数据库治理。
-
重加密大表时可能会对性能产生影响，建议在低流量时段进行。
-
审计pg_tde部署需验证加密表的访问方法和内部密钥生成使用情况。
-
启用pg_tde加密对性能的影响一般可接受，但写重负载应用可能会有明显变化。
-
现有未加密表需手动迁移以使用pg_tde加密。
-
pg_tde目前专注于表级加密，暂无全数据库级加密的计划。
延伸解读
pg_tde的加密管理
pg_tde通过内部表密钥和主密钥两种方式管理加密。内部表密钥为每个加密表生成并存储，而主密钥则需通过外部密钥管理系统（KMS）进行管理。丢失主密钥将导致数据无法恢复，因此在生产环境中务必谨慎处理密钥的备份和管理。
重加密的性能影响
在对大表进行重加密时，pg_tde可能会消耗大量资源，尤其是在CPU和I/O方面。建议在低流量时段进行重加密操作，以减少对系统性能的影响。监控性能指标也非常重要，以确保在重加密过程中不会对业务造成过大干扰。
合规性与数据库治理
虽然pg_tde提供了表级加密，但在受监管行业中，单靠加密并不足以满足合规要求。全面的数据库治理，包括角色访问控制、强身份验证和详细审计，都是确保合规性的重要组成部分。加密应作为更广泛治理框架的一部分来实施。
延伸问答
pg_tde支持哪种类型的加密？
pg_tde支持表级加密，但不支持列级加密。
pg_tde何时会被纳入PostgreSQL社区版？
pg_tde目前作为扩展存在，尚未纳入PostgreSQL社区版，具体时间未确定。
如何审计pg_tde的部署情况？
审计pg_tde部署需验证加密表的访问方法、跟踪内部密钥生成和使用情况，并整合PostgreSQL日志。
重加密大表时需要注意什么？
重加密大表时可能会对性能产生影响，建议在低流量时段进行，并监控性能指标。
pg_tde如何支持从云环境迁移到本地环境？
pg_tde通过提供一致的加密实践，支持从云环境迁移到本地环境的数据库。
启用pg_tde加密对性能的影响如何？
启用pg_tde加密通常对性能影响可接受，但写重负载应用可能会有明显变化。
