postgresSQL的FDE加密

postgresql数据库的应用越来越广泛，为了提高数据库的安全性，可以对数据库进行加密，下面介绍一种对postgresql数据库加密的方法FDE，这种加密方法针对磁盘文件进行加密，对于用户完全透明，在启动之后不需要用户做额外的操作就可以使用，很方便。

FDE概述：

FDE全称Full database encryption，是全数据库加密，也可以叫全磁盘加密。FDE加密对客户端完全透明，当数据从sharedbuffer中写入到磁盘中时，进行加密，反之，进行解密，加解密的单位为一个page页。

FDE的加密范围包含表、索引、序列、FSM（free space maps空闲空间映射表）文件、VM（visibility maps可见性映射到表）文件，以及系统表、预写式日志（WAL），SLRU文件（clog、commit_ts, multixact, notify, subtrans）和查询时产生的临时文件。

FDE加密可以指定加密算法进行数据加密。可选的算法有 AES128，AES192，AES256，Blowfish des 3des cast5。

FDE的算法/秘钥通过 秘钥管理工具管理，这里使用LDAP服务器作为秘钥管理工具。

LDAP服务器的配置方法在另外的文章里有介绍：https://my.oschina.net/ashnah/blog/845499

FDE加密基于pgcryto实现，启用加密的方法为：在初始化时通过参数--data-encryption（-K） 指定加密使用的模块，即--data-encryption pgcryto 或 -K pgcryto。

使用方法：

数据库加密只能在初始化的时候启动。启动加密时需要指定以下的参数：

通过initdb的参数--data-encryption(-K) 指定需要的模块；（必须指定）

通过--key-url(-P)指定存储秘钥的LDAP服务器的url; （必须指定）

通过 --encryption-algo(-C)指定加密算法；（必须指定）

可选的选项：aes-128、aes-192、aes-256、blowfish、des、3des、cast5

通过--new-key(-e)指定是否使用新的秘钥;  （可选，当使用--new-key参数时，表示需要指定新的秘钥，否则，使用LDAP中既存的秘钥。）

比如：initdb --data-e