Yugabyte DB 中的数据密钥轮换
Data key rotation in Yugabyte DB
从 encryption at rest design document in Github 开始，只有 Universe 密钥会轮换，而数据密钥在数据文件的生命周期内保持不变。
然而，Yugabyte 文档提到“旧数据将保持未加密状态，或使用旧密钥加密，直到压缩流失触发使用新密钥重新加密”。
这是否意味着数据键在进行压缩时会隐式旋转？
我们可以通过 yb-admin 工具触发手动压缩来强制执行此压缩（和数据密钥轮换）吗？
每个数据文件都包含对用于加密其文件级数据密钥的主端密钥的密钥 ID 的引用，因此从技术上讲，即使在主密钥轮换之后，我们也可能拥有引用旧密钥的较旧的 sst 文件。因此，如果您不希望旧数据文件在旋转后引用旧密钥，则必须进行手动压缩。
从 encryption at rest design document in Github 开始，只有 Universe 密钥会轮换，而数据密钥在数据文件的生命周期内保持不变。
然而，Yugabyte 文档提到“旧数据将保持未加密状态，或使用旧密钥加密，直到压缩流失触发使用新密钥重新加密”。
这是否意味着数据键在进行压缩时会隐式旋转？
我们可以通过 yb-admin 工具触发手动压缩来强制执行此压缩（和数据密钥轮换）吗？
每个数据文件都包含对用于加密其文件级数据密钥的主端密钥的密钥 ID 的引用，因此从技术上讲，即使在主密钥轮换之后，我们也可能拥有引用旧密钥的较旧的 sst 文件。因此，如果您不希望旧数据文件在旋转后引用旧密钥，则必须进行手动压缩。