API-10: master-key-verwaltung-tenant-schluesselhierarchie-kms-anbindung (envelope encryption, isolierte tenant-keks, rotation)

2026-08-28 10:03:27 +02:00
parent b23cd1961f
commit bc2126f3b1
11 changed files with 1018 additions and 0 deletions
@@ -0,0 +1,10 @@
+-- Master-Key-Verwaltung & Tenant-Schluesselhierarchie (API-10, siehe
+-- core-kanban/tickets/API-10.md) — EIN verpackter (mit dem Master-Key
+-- umhuellter) Tenant-KEK je Mandant. Niemals der Master-Key selbst und
+-- niemals ein Tenant-KEK im Klartext in dieser Tabelle.
+CREATE TABLE tenant_keks (
+    tenant_id    UUID PRIMARY KEY REFERENCES tenants(id),
+    wrapped_kek  BYTEA NOT NULL,
+    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
+    rotated_at   TIMESTAMPTZ
+);