PostgreSQL GPG公钥加密备份文件

1. 目标

实现 PostgreSQL 备份文件：

本地生成
GPG 公钥加密
上传 S3
支持灾难恢复

安全架构：

复制代码

Postgres
   ↓
pg_dump
   ↓
gzip
   ↓
GPG 公钥加密
   ↓
AWS S3 (SSE)

2. 安装依赖

Rocky / CentOS / RHEL：

复制代码

sudo dnf install -y gnupg2 pinentry pinentry-tty

验证：

复制代码

gpg --version
which pinentry-tty

3. 创建 GPG 密钥

推荐 batch 方式创建（服务器更稳定）。

创建配置文件：

复制代码

cat > ~/gpg-batch.conf <<'EOF'
Key-Type: RSA
Key-Length: 4096
Subkey-Type: RSA
Subkey-Length: 4096
Name-Real: <YOUR_NAME>
Name-Email: <YOUR_EMAIL>
Name-Comment: PostgreSQL Backup
Expire-Date: 0
Passphrase: <STRONG_PASSPHRASE>
%commit
EOF

设置权限：

复制代码

chmod 600 ~/gpg-batch.conf

生成密钥：

复制代码

gpg --batch --pinentry-mode loopback --generate-key ~/gpg-batch.conf

4. 查看密钥

复制代码

gpg --list-secret-keys --keyid-format LONG

示例输出（脱敏）：

复制代码

sec   rsa4096/<GPG_KEYID> 2026-03-31 [SCEA]
      <GPG_FINGERPRINT>
uid                 [ultimate] <YOUR_NAME> (PostgreSQL Backup) <YOUR_EMAIL>
ssb   rsa4096/<SUBKEY_ID> 2026-03-31 [SEA]

关键字段

推荐使用：

复制代码

<GPG_KEYID>

如需更高唯一性，也可以使用完整指纹：

复制代码

<GPG_FINGERPRINT>

5. 导出 GPG 密钥前的 agent 配置

为避免 No pinentry 问题，先配置 gpg-agent。

复制代码

mkdir -p ~/.gnupg
chmod 700 ~/.gnupg

cat > ~/.gnupg/gpg-agent.conf <<'EOF'
pinentry-program /usr/bin/pinentry-tty
allow-loopback-pinentry
EOF

chmod 600 ~/.gnupg/gpg-agent.conf
gpgconf --kill gpg-agent
gpgconf --launch gpg-agent
export GPG_TTY=$(tty)

6. 导出公钥

复制代码

gpg --export --armor <GPG_KEYID> > /home/<USER>/db_backup/gpg-public.asc

7. 导出私钥（推荐方案）

复制代码

gpg --batch --yes --pinentry-mode loopback \
  --passphrase '<PRIVATE_KEY_PASSPHRASE>' \
  --export-secret-keys --armor <GPG_KEYID> \
  > /home/<USER>/db_backup/gpg-private.asc

8. 验证导出

复制代码

ls -lh /home/<USER>/db_backup/gpg-*.asc

检查内容：

公钥：

复制代码

head -3 /home/<USER>/db_backup/gpg-public.asc

应看到：

复制代码

-----BEGIN PGP PUBLIC KEY BLOCK-----

私钥：

复制代码

head -3 /home/<USER>/db_backup/gpg-private.asc

应看到：

复制代码

-----BEGIN PGP PRIVATE KEY BLOCK-----

9. 备份吊销证书

自动生成路径：

复制代码

~/.gnupg/openpgp-revocs.d/*.rev

复制备份：

复制代码

cp ~/.gnupg/openpgp-revocs.d/*.rev /home/<USER>/db_backup/

10. 设置安全权限

复制代码

chmod 600 /home/<USER>/db_backup/gpg-private.asc
chmod 644 /home/<USER>/db_backup/gpg-public.asc
chmod 600 /home/<USER>/db_backup/*.rev

11. 私钥安全保存

至少保存 2 份，推荐保存到：

安全 S3 bucket
密码管理器
离线 U 盘
Vault / Secrets Manager

否则机器损坏后，可能无法解密历史备份。

常用命令

查看密钥：

复制代码

gpg --list-keys

查看私钥：

复制代码

gpg --list-secret-keys

导入密钥：

复制代码

gpg --import gpg-private.asc

删除密钥：

复制代码

gpg --delete-secret-keys <GPG_KEYID>
gpg --delete-keys <GPG_KEYID>