透過的データ暗号化の利用に必要な設定

PostgreSQL Recovery Kit は次の要件を満たす範囲で FUJITSU Software Enterprise Postgres が提供する透過的データ暗号化機能をサポートします。

• データベース多重化運用は行わないこと
• テーブル空間用ディレクトリは Volume リソースで保護されるドライブ (共有ディスクまたはミラーディスク) に配置すること
• 両ノードで同一のマスタ暗号化キーを使用すること
• 両ノードで自動オープンを設定すること
  

また以下の設定を推奨します。

• キーストア格納ディレクトリはプライマリーノード、セカンダリーノードそれぞれのローカルドライブ (C:ドライブ) に配置すること
  

以下の手順を参照してください。

1. [プライマリーノード] キーストア格納フォルダーを作成し、Administrator アクセスを許可
   

   mkdir c:\key\store\inst1
   

2. [プライマリーノード] テーブル空間用フォルダーを作成し、Administrator アクセスを許可
   

   mkdir d:\tablespace\inst1
   

3. [プライマリーノード] \inst1\postgresql.conf を編集し、以下の行を追加
   

   keystore_location = 'C:\\key\\store\\inst1'
   

4. PosgreSQL リソースを一旦 Out of Serivce にしてから再度 In Service にする。
5. [プライマリーノード] マスタ暗号化キー設定
   

   psql -d postgres
   SELECT pgx_set_master_key('<password>');
   

6. [プライマリーノード] テーブル空間作成
   

   psql -d postgres
   CREATE TABLESPACE secure_tablespace LOCATION 'D:\tablespace\inst1' WITH (tablespace_encryption_algorithm = 'AES256' );
   SELECT spcname, spcencalgo FROM pg_tablespace ts, pgx_tablespaces tsx WHERE ts.oid = tsx.spctablespace;
   

7. [プライマリーノード] テーブル作成
   

   psql -d postgres
   CREATE TABLE table02 (id integer,  name varchar(10)) TABLESPACE secure_tablespace;
   

8. [プライマリーノード] 自動オープンの設定
   

   pgx_keystore --enable-auto-open C:\key\store\inst1\keystore.ks
   

9. PosgreSQL リソース階層をセカンダリーノードにスイッチオーバー
10. [セカンダリーノード] キーストア格納フォルダーを作成し、Administrator アクセスを許可
11. [セカンダリーノード] テーブル空間用フォルダーへの Administrator アクセスを許可
12. [セカンダリーノード] キーストアファイル (C:\key\store\inst1\keystore.ks) をプライマリーノードからコピー
13. [セカンダリーノード] 自動オープンの設定
14. PosgreSQL リソース階層をプライマリーノードにスイッチオーバー