TimescaleDB 托管服务中的安全

本节介绍 Timescale 如何处理存储数据的安全性。

TimescaleDB 托管服务由 Timescale 控制的云提供商账户托管。这些账户仅由 Timescale 和 Aiven 运维人员管理。公众无法直接访问云提供商账户资源。

您的 TimescaleDB 托管服务位于一台或多台虚拟机上。每台虚拟机都专用于一个客户，并且从不进行多租户共享。客户数据除非上传到异地备份位置，否则绝不会离开虚拟机。

创建新服务时，您需要选择一个云区域。虚拟机启动时，它会在您选择的云区域中启动。您的数据绝不会离开所选的云区域。

如果云区域具有多个可用区或类似的高可用性机制，虚拟机将均匀分布在这些区域中。这样可以在可用区不可用时提供最佳服务。

对提供您服务的虚拟机的访问受到限制。访问您数据库的软件需要在不同的虚拟机上运行。为了减少延迟，最好在可能的情况下，使用同一云提供商在同一区域提供的虚拟机。

虚拟机不会被重复使用。当您升级或删除服务时，它们会被终止并擦除。

每个 TimescaleDB 托管服务项目都有自己的证书颁发机构。此证书颁发机构用于签署服务内部证书，以便在不同集群节点和管理系统之间进行通信。

您可以在 TimescaleDB 托管服务门户中下载您的项目证书颁发机构。在 Services 选项卡中，单击您要查找证书的服务。在服务 Overview 选项卡中的 Connection information 下，找到 CA Certificate 部分，然后单击 Show 以查看证书。建议您将浏览器或客户端设置为信任该证书。

所有服务器证书均由 TimescaleDB 托管服务项目证书颁发机构签署。

TimescaleDB 托管服务的静态数据加密涵盖活动服务实例以及云对象存储中的服务备份。

服务实例和底层虚拟机使用完整卷加密。加密方法使用 LUKS，每个实例和每个卷都有一个随机生成的临时密钥。密钥永不重复使用，并在实例销毁时被丢弃。这意味着通过前滚升级会发生自然的密钥轮换。默认情况下，LUKS 模式为 aes-xts-plain64:sha256，使用 512 位密钥。

备份使用每个文件随机生成的密钥进行加密。这些密钥再通过 RSA 密钥加密密钥对进行加密，并存储在每个备份段的头部。文件加密使用 AES-256 CTR 模式进行，并使用 HMAC-SHA256 进行完整性保护。RSA 密钥对是为每个服务随机生成的。密钥长度为：块加密 256 位，完整性保护 512 位，RSA 密钥 3072 位。

加密的备份文件存储在与服务虚拟机位于同一区域的对象存储中。

对所提供服务的访问仅通过 TLS 加密连接提供。TLS 确保第三方在数据传输过程中（在您的服务和访问您服务的客户端之间）无法窃听或修改数据。您不能使用未加密的纯文本连接。

TimescaleDB 托管服务内部虚拟机之间的通信通过 TLS 或 IPsec 加密。您不能使用未加密的纯文本连接。

虚拟机网络接口受基于 iptables 动态配置的防火墙保护，该防火墙仅允许来自特定地址的连接。这用于内部网络到同一服务中其他虚拟机的网络流量，以及外部公共网络到客户端的连接。

默认情况下，新服务接受来自所有来源的传入流量，这用于简化服务的初始设置。强烈建议您限制允许建立连接到您服务的 IP 地址。

当您设置 VPC 对等连接时，无法使用基于公共互联网的访问来访问您的服务。服务地址发布在公共 DNS 记录中，但只能通过您的对等 VPC 网络使用私有网络地址进行连接。

提供您服务的虚拟机由 Timescale 控制的云提供商账户托管。

客户数据隐私在 Timescale 至关重要。Timescale 与 Aiven 合作提供 TimescaleDB 托管服务。

在大多数情况下，提供您服务所需的所有资源都由 TimescaleDB 托管服务基础设施自动创建、维护和终止，无需人工操作。

Timescale 运营团队能够安全地登录到您的服务虚拟机，以便在需要时进行故障排除。除非您明确要求他们进行故障排除，否则 Timescale 操作员绝不会访问客户数据。此访问会被记录和审计。

任何客户或公众成员都无法访问 TimescaleDB 托管服务中使用的任何虚拟机。

TimescaleDB 托管服务会定期由独立的专业网络安全供应商进行安全评估和渗透测试，以发现任何安全问题。

Aiven 完全符合 GDPR 规定，并已与相关云基础设施提供商签订了数据处理协议 (DPA)。如果您需要 DPA，或想了解更多关于信息安全策略的信息，请联系 Timescale。