Инструкция по использованию QSS в режиме хранения пользовательского ключа на USB носителе

В данной инструкции представлены рекомендации по использованию модуля безопасного хранения QHB (Quantum Secure Storage, QSS), а так же сценарий инициализации QSS c помощью утилиты qss_mgr и последующий запуск сервера БД. Для получения более подробной информации вы можете обратиться к соответствующему разделу документации (см. qss)

Для начала работы с QSS требуется установить QHB на ваш компьютер и инициализировать кластер БД (обычно путь к данным кластера экспортируется в переменную среды PGDATA). Если вы устанавливаете пакеты из репозитория QHB, то вы можете воспользоваться инструкцией (см. Краткая инструкция по начальной загрузке и установке).

Сервер БД должен остаться выключенным.

Подключите USB носители к компьютеру для генерации мастер ключа и ключа Пользователя который имеет право запускать сервер БД (далее Админ)

Примечание.
USB носитель должен всегда подключаться по одному и тому-же пути (здесь используется путь /mtn/flash для флешки Админа, /mtn/flash_master для флешки с мастер ключем). Мастер ключ не должен копироваться на компьютер. USB носитель с мастер ключем (или сам файл мастер-ключа) нужен только при инициализации QSS и потом должен храниться в защищенном месте.

Выполните генерацию мастер ключа (данную операцию не обязательно производить на сервере c qhb, выполнение возможно на любой другой машине):

head -c 32 /dev/random > /mnt/flash_master/master.bin 

Выполните генерацию пользовательского ключа:

head -c 32 /dev/random > /mnt/flash/user1.bin 

Добавьте ключи в QSS с помощью утилиты qss_mgr (здесь и далее не указаны пути до места хранения исполняемых файлов QHB). Данная командная строка требует установленной переменной среды PGDATA. В случае если PGDATA не установлена, следует использовать параметр -d либо --data-dir для указания пути до папки БД:

qss_mgr init --module=/usr/lib64/librtpkcs11ecp.so \
-m fs \
-k \
/mnt/flash/user1.bin  \
/mnt/flash_master/master.bin 

Для добавления в QSS ключа другого Админа необходимо, кроме флешки добавляемого Админа, подключить флешку уже добавленного Админа.

Примечание.
Если Владельцев ключа несколько, USB носители должны монтироваться по уникальным путям, например, /mnt/flash2, /mnt/flash3 и т.п.

Для добавления в QSS дополнительного ключа введите:

qss_mgr add
-m fs \
-n 0 \ # номер ключа уже добавленного Админа (при инициализации добавляется ключ с номером 0)
/mnt/flash2/user2.bin

Включите шифрование путем добавления значения qss_mode = 1 в файл qhb.conf:

echo qss_mode = 1 >> $PGDATA/qhb.conf 

Для запуска сервера БД в режиме работы модуля безопасного хранения QSS порядок действий будет следующий:

  1. Подключить USB носитель Админа

  2. Выполнить запуск сервера БД с помощью утилиты qhb_ctl от имени пользователя QHB:

qhb_ctl start
  1. Отключить USB носитель