AWS DMS迁移DB2 LUW至Aurora PostgreSQL的加密处理及问题排查

一、解密函数类型转换问题修复 #

你遇到的pgp_sym_decrypt(bytea, unknown)不存在错误，核心是参数类型未显式声明，同时要匹配DB2与PostgreSQL的加密算法：

• DB2的ENCRYPT默认多采用AES算法（需与源端实际配置一致），PostgreSQL端调用pgp_sym_decrypt时必须明确密钥的text类型，正确调用格式示例：

  SELECT pgp_sym_decrypt(password_column::bytea, '你的密钥'::text, 'cipher-algo=aes256') FROM 目标表;
  

  若DB2使用3DES算法，需将cipher-algo参数改为3des。

二、AWS DMS迁移加密数据的关键配置 #

1. 数据类型映射规则 #

源端DB2的CHARACTER(48) FOR BIT DATA类型需配置精准映射，避免数据损坏：

• 在DMS任务的Table mappings中添加自定义规则：
  • 源类型选择CHAR FOR BIT DATA，目标类型映射为BYTEA
  • 保持长度为48，防止数据截断或自动填充导致二进制数据失真

2. 迁移链路与静态加密配置 #

• 源端点加密：若DB2 LUW启用SSL传输加密，需在DMS源端点配置中开启SSL，上传对应CA证书，确保加密数据传输过程不被篡改。
• 目标端点加密：Aurora PostgreSQL默认开启传输加密，确保DMS目标端点配置SSL连接；若需静态加密，确认Aurora集群已启用AWS KMS加密，DMS会自动适配加密存储逻辑。
• DMS任务加密：创建任务时开启Enable encryption，选择AWS KMS密钥，保障迁移过程中数据在DMS服务端处理时的加密安全。

三、数据一致性与常见问题排查 #

• 数据损坏验证：迁移后对比源端与目标端二进制数据的十六进制值，确认数据未失真：
  • DB2端执行：SELECT HEX(password_column) FROM 源表 WHERE id = 1;
  • PostgreSQL端执行：SELECT ENCODE(password_column, 'hex') FROM 目标表 WHERE id = 1;
    若值不一致，需重新调整DMS的类型映射规则。
• 密钥错误排查：确保解密密钥与DB2加密时的密钥完全一致（包括大小写、特殊字符），若DB2加密时指定了盐值，PostgreSQL解密需添加对应参数，示例：

  SELECT pgp_sym_decrypt(password_column::bytea, '你的密钥'::text, 'cipher-algo=aes256,salt=你的盐值') FROM 目标表;
  

内容的提问来源于stack exchange，提问作者Lakshmi Narayana