initdb TDE options#

暗号化を有効にするには、 initdb コマンドで次のオプションを使用します。

オプション `--data-encryption` または`-y`#

データベースサーバーの初期化時に、透過的なデータの暗号化を追加します。

オプションでAESキー長を指定できます。有効な値は128および256です。デフォルトは128です。

データ暗号化キーを保護するためのラッピング/暗号化コマンドを提供します。

<command> はカスタマイズ可能ですが、プレースホルダー %p を含める必要があります。例と情報については、 TDEにラッピングおよびアンラップコマンドを提供するを参照してください。使用可能なラッピングメカニズムの概要については、 Securing the data encryption key を参照してください。

指定しない場合、TDEは環境変数PGDATAKEYWRAPCMD にフォールバックします。

ラッピングメカニズムを適用したくない場合は、 - を使用します。

データ暗号化キーにアクセスするための解凍/復号コマンドを提供します。

<command> はカスタマイズ可能ですが、プレースホルダー %p を含める必要があります。例と情報については、 Configuring wrapping commands を参照してください。

指定しない場合、TDEは環境変数PGDATAKEYUNWRAPCMD にフォールバックします。

ラッピングメカニズムを適用しなかった場合は、 - を使用します。

キーのラッピングを無効にします。データ暗号化キーは、代わりにデータディレクトリに平文で保存されます。このオプションは、wrapコマンドとunwrapコマンドの両方を特別な値- に設定するためのショートカットです。

注釈

このオプションの使用は安全ではありません。テスト目的でのみ使用してください。 !!!データの暗号化を選択し、このオプションを指定しない場合、key Wrapおよびunwrapコマンドを提供する必要があります。それ以外の場合、initdb はエラーで終了します。

--no-key-wrap オプションは、値を指定する必要はありません。

指定された場所から既存のデータ暗号化キーをコピーします。たとえば、 pg_upgradeでのアップグレード中に既存のサーバーからキーを再利用する場合。

<file> は、既存のキーのディレクトリです。通常、暗号化キーはpg_encryption/key.bin に保存されます。