TimescaleDB 托管服务中的安全性

本节介绍 Timescale 如何处理存储数据时的安全性。

TimescaleDB 托管服务由 Timescale 控制的云服务提供商帐户托管。这些帐户仅由 Timescale 和 Aiven 运营人员管理。公众成员无法直接访问云服务提供商帐户资源。

您的 TimescaleDB 托管服务位于一个或多个虚拟机上。每个虚拟机都专用于单个客户，绝不是多租户的。客户数据永远不会离开虚拟机，除非上传到异地备份位置。

当您创建新服务时，需要选择一个云区域。启动虚拟机时，它会在您选择的云区域中启动。您的数据永远不会离开所选的云区域。

如果云区域有多个可用区或类似的HA机制，虚拟机将在区域之间均匀分布。如果某个可用区不可用，这将提供最佳服务。

对提供服务的虚拟机的访问受到限制。访问数据库的软件需要在不同的虚拟机上运行。为了减少延迟，最好使用同一云服务提供商并在同一区域提供的虚拟机（如果可能）。

虚拟机不会重复使用。当您升级或删除服务时，它们会被终止和擦除。

每个 TimescaleDB 托管服务项目都有自己的证书颁发机构。此证书颁发机构用于签署服务内部使用的证书，以便在不同集群节点和管理系统之间进行通信。

您可以在 TimescaleDB 托管服务门户中下载项目证书颁发机构。在“服务”选项卡中，单击要查找证书的服务。在服务“概述”选项卡中的“连接信息”下，找到“CA 证书”部分，然后单击“显示”以查看证书。建议您设置浏览器或客户端以信任该证书。

所有服务器证书均由 TimescaleDB 托管服务项目证书颁发机构签名。

TimescaleDB 托管服务静态数据加密涵盖活动服务实例以及云对象存储中的服务备份。

服务实例和底层虚拟机使用全卷加密。加密方法使用 LUKS，每个实例和每个卷使用随机生成的临时密钥。密钥永远不会重复使用，并在实例销毁时被丢弃。这意味着在向前滚动升级时会发生自然的密钥轮换。默认情况下，LUKS 模式为 aes-xts-plain64:sha256，使用 512 位密钥。

备份使用每个文件随机生成的密钥进行加密。这些密钥又使用 RSA 密钥加密密钥对进行加密，并存储在每个备份段的标头部分。文件加密使用 CTR 模式的 AES-256 执行，并使用 HMAC-SHA256 进行完整性保护。RSA 密钥对是为每个服务随机生成的。密钥长度为：块加密 256 位，完整性保护 512 位，RSA 密钥 3072 位。

加密的备份文件存储在对象存储中，该对象存储与服务虚拟机所在的区域相同。

对所提供服务的访问仅通过 TLS 加密连接提供。TLS 确保第三方无法在数据在您的服务和访问您服务的客户端之间传输时窃听或修改数据。您不能使用未加密的纯文本连接。

TimescaleDB 托管服务中虚拟机之间的通信通过 TLS 或 IPsec 进行保护。您不能使用未加密的纯文本连接。

虚拟机网络接口受基于 iptables 的动态配置防火墙保护，该防火墙仅允许来自特定地址的连接。这用于从内部网络到同一服务中其他 VM 的网络流量，以及从外部公共网络到客户端连接的网络流量。

默认情况下，新服务接受来自所有来源的传入流量，这用于简化服务的初始设置。强烈建议您限制允许建立与您的服务连接的 IP 地址。

当您设置 VPC 对等连接时，您无法使用基于公共互联网的访问来访问您的服务。服务地址发布在公共 DNS 记录中，但只能从您对等的 VPC 网络使用私有网络地址连接到它们。

提供您服务的虚拟机由 Timescale 控制的云服务提供商帐户托管。

客户数据隐私在 Timescale 至关重要。Timescale 与 Aiven 合作提供 TimescaleDB 托管服务。

在大多数情况下，提供服务所需的所有资源都由 TimescaleDB 托管服务基础设施自动创建、维护和终止，无需人工操作员干预。

Timescale 运营团队能够安全地登录到您的服务虚拟机，以便在需要时进行故障排除。除非您明确要求他们这样做以排除技术问题，否则 Timescale 运营人员绝不会访问客户数据。此访问会被记录和审计。

任何客户或公众成员都无法访问 TimescaleDB 托管服务中使用的任何虚拟机。

TimescaleDB 托管服务会定期由独立的专业网络安全供应商评估和渗透测试，以查找任何安全问题。

Aiven 完全符合 GDPR 标准，并已与相关的云基础设施提供商签订了数据处理协议 (DPA)。如果您需要 DPA，或者您想了解有关信息安全策略的更多信息，请联系 Timescale。