Azure Cosmos DB for PostgreSQL 中的安全性
适用对象：
PostgreSQL 的 Azure Cosmos DB （由 PostgreSQL 的 Citus 数据库扩展提供支持）
此页面概述了可用于保护群集中的数据的多层安全性。
信息保护和加密
传输中
每当将数据引入到节点中时，Azure Cosmos DB for PostgreSQL 都会通过使用传输层安全性 (TLS) 1.2 及更高版本对传输中的数据进行加密来保护数据。 加密 (SSL/TLS) 始终强制执行，并且无法禁用。
通过将 ssl_min_protocol_version 协调器和工作器节点参数分别设置为 TLSV1.2（适用于 TLS 1.2）或 TLSV1.3（适用于 TLS 1.3），可以强制实施连接到群集所需的最低 TLS 版本。
静态
Azure Cosmos DB for PostgreSQL 服务使用 FIPS 140-2 验证的加密模块对静态数据进行存储加密。 数据（包括备份）在磁盘上加密，包括运行查询时创建的临时文件。 该服务使用包含在 Azure 存储加密中的 AES 256 位密码，并且密钥由系统进行管理。 存储加密始终处于启用状态，无法禁用。
网络安全
Azure Cosmos DB for PostgreSQL 支持三个网络选项：
- 无访问权限
- 这是新创建的群集的默认选项（如果未启用公共或专用访问权限）。 任何计算机（无论位于 Azure 内部或外部）都无法连接到数据库节点。
- 公共访问权限
- 将公共 IP 地址分配给协调器节点。
- 访问协调器节点受防火墙的保护。
- 可以选择启用访问所有工作器节点。 在这种情况下，会将公共 IP 地址分配给工作器节点，并使用同一防火墙保护该节点。
- 专用访问权限
- 仅将专用 IP 地址分配给群集的节点。
- 每个节点都需要一个专用终结点，以允许所选虚拟网络中的主机访问节点。
- Azure 虚拟网络的安全功能（如网络安全组）可用于访问控制。
在创建群集时，可以启用公共或专用访问，或选择默认的“无访问权限”。 创建群集后，可以选择在公共或专用访问之间进行切换，或将二者同时激活。
限制和局限性
请参阅 Azure Cosmos DB for PostgreSQL 限制和局限性页。