Working with encrypted backup files

TDEが有効になっている場合、バックアップファイルは暗号化されます。暗号化されたバックアップファイルに対して操作を実行する場合は、操作でファイルを復号化することを許可する必要があります。

TDEシステムのバックアップを検証する

暗号化されたバックアップファイルを検証するには、 pg_verifybackup コマンドがunwrapキーを認識する必要があります。次のオプションを使用してunwrapコマンドのキーをpg_verifybackup コマンドに渡すか、フォールバック環境変数に依存することができます。

--key-unwrap-command=<command>

データ暗号化キーをアンラップ(復号)するコマンドを指定します。コマンドには、ラップされたキーを読み取るファイルを指定するプレースホルダー %p を含める必要があります。コマンドは、ラップされていないキーを標準出力に書き込む必要があります。このオプションを指定しない場合、環境変数PGDATAKEYUNWRAPCMD が使用されます。 キーのラップ解除コマンドを適用したくない場合は、特別な値 - を使用します。 データ暗号化を使用している場合、このオプションまたは環境変数フォールバックを指定する必要があります。詳細については、 Securing the data encryption key を参照してください。

TDEシステムのタイムラインを再同期する

暗号化されたクラスターとそのバックアップを再同期するには、 pg_rewind コマンドがunwrapキーを認識する必要があります。次のオプションを使用してunwrapコマンドのキーをpg_rewind コマンドに渡すか、フォールバック環境変数に依存することができます。

–key-unwrap-command=

データ暗号化キーをアンラップ(復号)するコマンドを指定します。コマンドには、ラップされたキーを読み取るファイルを指定するプレースホルダー %p を含める必要があります。コマンドは、ラップされていないキーを標準出力に書き込む必要があります。このオプションを指定しない場合、環境変数PGDATAKEYUNWRAPCMD が使用されます。

キーのラップ解除コマンドを適用したくない場合は、特別な値 - を使用します。 データ暗号化を使用している場合、このオプションまたは環境変数フォールバックを指定する必要があります。詳細については、 Securing the data encryption key を参照してください。