解密
云數(shù)據(jù)倉(cāng)庫(kù)透明安全技術(shù)
GaussDB(DWS)支持對(duì)數(shù)據(jù)進(jìn)行透明加密，加密解密的過(guò)程用戶無(wú)感知。每個(gè)集群有一個(gè)CEK（集群秘鑰），每個(gè) 數(shù)據(jù)庫(kù) 采用單獨(dú)配置的DEK（數(shù)據(jù)庫(kù)加密密鑰）加密保護(hù)，DEK使用CEK加密保護(hù)，保證秘鑰安全。密鑰通過(guò)Kerbores服務(wù)申請(qǐng)和加解密，加密算法通過(guò)配置項(xiàng)統(tǒng)一配置。目前支持AES、SM4算法，其中SM4算法在hi 1620以上版本芯片中支持硬件加速。 大數(shù)據(jù) 中蘊(yùn)藏巨大價(jià)值的同時(shí)，也帶來(lái)了隱私信息保護(hù)方面的問(wèn)題。GaussDB(DWS)支持客戶以表的列為單元?jiǎng)?chuàng)建脫敏策略，客戶可針對(duì)業(yè)務(wù)中的敏感數(shù)據(jù)進(jìn)行策略創(chuàng)建，敏感數(shù)據(jù)的界定由客戶結(jié)合自身業(yè)務(wù)場(chǎng)景識(shí)別。制定脫敏策略后，只有管理員和表對(duì)象的owner才能訪問(wèn)原始數(shù)據(jù)。同時(shí)，脫敏的數(shù)據(jù)可以參與實(shí)際運(yùn)算及使用，僅在數(shù)據(jù)庫(kù)服務(wù)最終返回結(jié)果時(shí)脫敏。 以圖為例，用戶數(shù)據(jù)中每個(gè)人員的工資、email和手機(jī)號(hào)碼均為敏感數(shù)據(jù)，包含了用戶的隱私信息，如果明文顯示，將會(huì)暴露用戶的隱私，帶來(lái)一系列問(wèn)題。經(jīng)過(guò)透明脫敏處理后，普通用戶查看到的數(shù)據(jù)均被掩碼顯示，從而保護(hù)了用戶的隱私。 圖片 數(shù)據(jù)脫敏效果 https://res-static.hc-cdn.cn/cloudbu-site/china/zh-cn/hjm/dwshxjs4.png 數(shù)據(jù)脫敏的關(guān)鍵技術(shù)如下： 策略可配置 客戶可結(jié)合自身業(yè)務(wù)場(chǎng)景識(shí)別敏感數(shù)據(jù)并使用DDL在表的指定列創(chuàng)建脫敏策略。 策略可擴(kuò)展 內(nèi)置數(shù)值、字符、時(shí)間類型脫敏函數(shù)，支持用戶自定義脫敏函數(shù)。 訪問(wèn)控制 制定脫敏策略后，只有管理員和表對(duì)象的owner才能訪問(wèn)原始數(shù)據(jù)。 數(shù)據(jù)可用性 脫敏數(shù)據(jù)可以參與實(shí)際運(yùn)算及使用，僅在最終返回結(jié)果時(shí)脫敏。
數(shù)據(jù)加密服務(wù)密鑰對(duì)管理
密鑰對(duì)管理（KPS） 登錄時(shí)有高安全性要求的場(chǎng)景，用戶通過(guò)管理控制臺(tái)創(chuàng)建或者導(dǎo)入自己的密鑰對(duì)后，在購(gòu)買彈性 云服務(wù)器 時(shí)，可選擇通過(guò)密鑰對(duì)方式登錄，并且該密鑰對(duì)可重置和替換 優(yōu)勢(shì) 安全性更高 密鑰對(duì)默認(rèn)使用SSH-2格式和RSA-2048加解密算法 私鑰可托管 支持將本地私鑰托管到云端加密存儲(chǔ)，本地不用再保存方便使用，解決私鑰本地管理的安全性問(wèn)題 密鑰可控制 租戶可以把自己的密鑰導(dǎo)入到華為云使用 建議搭配使用：彈性云服務(wù)器 ECS、 裸金屬服務(wù)器 BMS