检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
身份认证与访问控制 身份认证 用户访问DBSS的方式有多种,包括DBSS控制台、API、SDK,无论访问方式封装成何种形式,其本质都是通过DBSS提供的REST风格的API接口进行请求。 DBSS的接口需要经过认证请求后才可以访问成功。DBSS支持如下认证方式: Token认证:
仿真解密测试 在配置解密队列之前,建议先进行仿真解密测试,验证解密功能。 前提条件 需要解密测试的表格已经在加密队列中完成加密,即已完成配置加密队列。 操作步骤 使用系统管理员sysadmin账号登录数据库加密与访问控制实例。 在左侧导航栏中,选择“业务测试 > 仿真测试”。 单击“新增解密测试”。
配置解密队列 如果数据库不再需要加密,可通过配置解密队列进行解密。配置解密后,对应的数据库列中的信息将变为加密前的明文数据。 您可以在“加密队列管理”页面,找到目标加密队列,单击“添加至解密队列”创建解密队列;也可以在“解密队列管理”页面创建解密队列。 此处以在“解密队列管理”页面为例,介绍如何创建解密队列。
数据加密和解密 设置加密参数 查看加密算法 仿真加密测试 配置加密队列 管理授权 仿真解密测试 配置解密队列 加密表管理 回滚表结构 查看和下载日志 安装Bypass插件 父主题: 系统管理员操作指导
场景二:解密操作流程及解密功能典型配置 解密操作流程 数据库加密与访问控制的解密操作流程图和流程介绍如下图1所示。 图1 解密操作流程 (可选)仿真解密测试。 通过仿真解密测试,检查目标是否支持解密。具体操作,请参见仿真解密测试。 创建解密队列 创建解密队列,解密数据。具体操作,请参见配置解密队列。
管理授权 支持在授权管理页面为访问数据库的客户端和数据库用户授权。 授权管理模块中支持客户端和用户授权,两者授权取交集,详情请参见设置客户端授权和设置用户授权。 管理授权示例说明如下: 表1 设置示例说明 参数 示例值 客户端授权 IP地址范围: 192.168.0.100~192
系统支持在不全量解密的情况下添加列,通过“编辑非加密列”功能,用户可以在不全量解密的情况下添加列,仅在执行时会锁定加密表,对现网影响小。 如果用户需要在加密表中大量改动列,仍然需要对加密表全量解密后进行修改。 使用系统管理员sysadmin账号登录数据库加密与访问控制实例。 在左侧导航栏中,选择“数据加密
DBSS权限管理 如果您需要对华为云上购买的DBSS 资源,为企业中的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、
模式名 资产的模式名。 表名 资产的表名。 加密算法 在下拉栏中选择加密的算法。 可以在查看加密算法页面查看支持的算法类型。 校验算法 在下拉栏中选择校验的算法。 校验算法用于重要数据的完整性校验,可以在查看加密算法页面查看支持的算法类型。 每批条数 设置加密队列每批处理的数据量。 线程数
文恢复工具解密时间较长。该场景下可使用“bypass插件”,在加密设备单点故障的情况下利用插件对客户的密文数据实时加解密,保证客户的业务进行快速恢复。 建议提前部署好Bypass插件,以应对加密设备单点故障的情况。 使用约束 支持的数据库类型为MySQL。 逃生插件的安装仅支持jre8及以上、linux_x86环境。
告警、错误和致命的日志。 单击“下载日志代理”。 在日志列表中,查看和下载加解密队列信息。 图1 日志列表 查看加解密队列的加解密动作、队列名、资产IP、加密模式等信息。 选中目标日志,单击右上角的“批量下载日志”,将日志下载到本地查看。 父主题: 数据加密和解密
在“加密参数”页面的“密文编码方式”下拉栏中,可以选择“十六进制”、“BASE64”等。 配置后,加密表的密文显示为十六进制编码的字符串或者BASE64编码的字符串,具体示例如下图1所示。 图1 十六进制编码的密文示例 父主题: 数据加密和解密
模式名 资产的模式名。 表名 资产的表名。 加密算法 在下拉栏中选择加密的算法。 可以在查看加密算法页面查看支持的算法类型。 校验算法 在下拉栏中选择校验的算法。 校验算法用于重要数据的完整性校验,可以在查看加密算法页面查看支持的算法类型。 单击“加密列表”页签,勾选需要加密的列名称。
查看加密算法 初始化密钥后,系统会根据密钥生成对应的加密算法,用户可以在算法查看页面查看系统支持的加密算法。 前提条件 确保已初始化密钥,具体初始化密钥操作,请参见初始化密钥章节。 操作步骤 使用系统管理员sysadmin账号登录数据库加密与访问控制实例。 在左侧导航栏中,选择“数据加密
回滚表结构 配置加密队列成功即数据库表初始化后,系统会修改表结构。如果需要恢复到原状态,需要进行回滚表结构。 手动回滚表结构功能适用场景:创建加密队列时,数据库表进行初始化后,加密之前,需要回退到原始状态。 图1 初始化表 操作步骤 使用系统管理员sysadmin账号登录数据库加密与访问控制实例。
初次使用产品时,请联系技术支持工程师进行系统授权,授权后方可使用产品的各项功能。 授权后,您可以在“平台管理 > 平台信息”区域查看授权到期的剩余时间以及授权期限时间,授权到期后请联系技术支持工程师进行重新授权。 表1 平台信息 区域 参数 说明 基本信息 产品名称 显示本产品的名称。 系统版本
数据保护技术 DBSS通过多种数据保护手段和特性,保证审计、存储在DBSS中的数据安全可靠。 表1 DBSS的数据保护手段和特性 数据保护手段 简要说明 详细介绍 传输加密(HTTPS) DBSS支持HTTP和HTTPS两种传输协议,为保证数据传输的安全性,推荐您使用更加安全的HTTPS协议。
权限最小化的安全管控要求。 支持的授权项 策略包含系统策略和自定义策略,如果系统策略不满足授权要求,管理员可以创建自定义策略,并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与API相对应,授权项列表说明如下: 权限:允许或拒绝某项操作。 授权项:自定义策略中支持
本章节为您介绍对用户授权的方法,操作流程如图1所示。 前提条件 给用户组授权之前,请您了解用户组可以添加的DBSS权限,并结合实际需求进行选择,DBSS系统策略如表1所示。DBSS支持的系统权限,请参见:DBSS系统权限。若您需要对除DBSS之外的其它服务授权,IAM支持服务的所有权限请参见系统权限。
数据类型管理”。 在“数据类型列表”页面,单击右上角的“添加自定义类型”。 在添加自定义类型对话框中,配置自定义数据类型。 系统支持通过匹配“列名称”或者匹配“数据内容”来创建自定义数据类型。 匹配列名 图1 匹配列名 表1 匹配列名 参数 说明 数据类型名称 设置自定义的数据类型名称,方便后续管理。