TDE upgrade arguments

pg_upgrade へのこれらの引数は、暗号化されたクラスターのアップグレードに役立ちます。

–ブロックごとのコピー

デフォルトのファイル全体を一度にコピーするのではなく、ブロックごとに新しいクラスターにファイルをコピーします。このオプションはデフォルトモードと同じですが、若干遅くなります。ただし、暗号化設定が異なるクラスター間のアップグレードはサポートしています。 異なる暗号化設定を使用するクラスター間でアップグレードする場合、つまり、非暗号化から暗号化、暗号化から非暗号化、またはその両方が異なるキーで暗号化されているクラスター間でアップグレードする場合、このオプションを使用する必要があります。新しいクラスターにファイルをコピーしているときに、新しいクラスターのキーと設定を使用してファイルを復号し、再暗号化します。 確実性を高めるために、古いクラスターが暗号化され、新しいクラスターが非暗号化として初期化された場合、このオプションは古いクラスターからデータを復号し、暗号化せずに新しいクラスターにコピーします。古いクラスターが暗号化されておらず、新しいクラスターが暗号化されたものとして初期化された場合、このオプションは古いクラスターからデータを暗号化し、暗号化された新しいクラスターに配置します。 pg_upgrade のターゲットとして新しいクラスターを準備するときに、既存のクラスターからキーをコピーする方法については、 initdb TDEオプションを使用する の説明を参照してください。 --copy-by-block の使用例については、 チュートリアル を参照してください。

–key-unwrap-command=

データ暗号化キーをアンラップ(復号)するコマンドを指定します。コマンドには、ラップされたキーを読み取るファイルを指定するプレースホルダー %p を含める必要があります。コマンドは、ラップされていないキーを標準出力に書き込む必要があります。このオプションを指定しない場合、環境変数PGDATAKEYUNWRAPCMD が使用されます。 キーのラップ解除コマンドを適用したくない場合は、特別な値 - を使用します。 データ暗号化を使用している場合、このオプションまたは環境変数フォールバックを指定する必要があります。詳細については、 Securing the data encryption key を参照してください。