Todos los productos
Search

Este producto

    MaxCompute:Cifrado de almacenamiento

    Centro de documentos

    MaxCompute:Cifrado de almacenamiento

    Última actualización: Sep 09, 2026

    MaxCompute cifra los datos en reposo mediante Key Management Service (KMS). De este modo, protege información confidencial como datos personales, registros financieros y expedientes médicos contra accesos no autorizados. Además, le ayuda a cumplir con los requisitos normativos.

    Funcionamiento

    MaxCompute utiliza claves administradas por KMS para cifrar y descifrar los datos:

    • El cifrado y el descifrado operan a nivel de proyecto.

    • KMS genera, administra y protege la clave maestra del cliente (CMK).

    • MaxCompute es compatible con los algoritmos de cifrado AES256, AESCTR y RC4.

    • MaxCompute admite dos tipos de clave: MaxCompute Default Key y bring-your-own-key (BYOK).

      • MaxCompute Default Key

        • MaxCompute crea automáticamente una clave en KMS para usarla como CMK. Consulte los detalles de esta clave en la consola de KMS.

      • Si tiene requisitos específicos de negocio o de seguridad, utilice una clave BYOK para cifrar y descifrar los datos.

        • Para usar una clave BYOK, active KMS manualmente y llame a CreateKey para crear una clave.

        • Siga las instrucciones en pantalla para completar la autorización de RAM. Esto permite que MaxCompute cree un proyecto con su clave BYOK.

    • Utilice una Access policy de RAM personalizada para aplicar los requisitos de cifrado en los proyectos nuevos.

    Notas de uso

    • Para usar una clave BYOK, active KMS en la misma región que su proyecto de MaxCompute.

    • Para acceder a los datos de MaxCompute desde una tabla externa de Hologres:

      • Hologres debe ser la versión 1.1 o posterior y contar con permisos de KMS otorgados. En las regiones de China continental, BYOK solo es compatible con KMS en la región China (Shanghai). Para la región China (Hong Kong) y las regiones fuera de China continental, se admite KMS en la región correspondiente. Para más información, consulte Query encrypted MaxCompute data.

      • A partir de Hologres V3.2, puede usar la ruta de acceso Common Table para consultar datos cifrados de MaxCompute. Este modo no requiere configuración adicional de políticas. Además, es compatible con proyectos cifrados con la clave predeterminada o con una clave de KMS. Para más información, consulte Common Table.

    • Las acciones sobre su clave BYOK en KMS, como deshabilitarla o eliminarla, afectan el cifrado y descifrado en MaxCompute. Debido al almacenamiento en caché del servicio, los cambios en KMS surten efecto en un plazo de 24 horas.

    • No es posible modificar la configuración de cifrado de almacenamiento después de crear un proyecto. Esto incluye deshabilitar el cifrado o cambiar el algoritmo.

    • Habilitar el cifrado de almacenamiento en un proyecto existente no cifra automáticamente los datos actuales ni afecta las operaciones de lectura y escritura. Para cifrar los datos existentes, léalos y vuelva a escribirlos manualmente.

    Facturación

    El cifrado de almacenamiento es gratuito. Sin embargo, las llamadas a la API de KMS durante el cifrado y descifrado generan cargos de KMS. Para más información, consulte KMS billing.

    Habilitar el cifrado de almacenamiento para un proyecto nuevo

    Cuando se habilita el cifrado de almacenamiento, MaxCompute cifra y descifra automáticamente todos los datos que se leen y escriben en el proyecto.

    Método 1: Habilitarlo en la consola de MaxCompute

    1. Si KMS ya está activado en la región de destino, omita este paso.

      En la página de activación de Key Management Service, haga clic en Activate Now.

    2. Inicie sesión en la consola de MaxCompute y seleccione una región en la esquina superior izquierda.

    3. En el panel de navegación izquierdo, elija Manage Configurations > Projects.

    4. En la pestaña Internal Project, haga clic en Create Project.

    5. En el cuadro de diálogo Create Project, configure los ajustes y haga clic en OK.

      • Establezca Storage Encryption en Yes. Después, seleccione una Key y el Algorithm correspondiente.

      • Key: El tipo de clave. Opciones: MaxCompute Default Key o BYOK.

        • Para usar la clave predeterminada, seleccione MaxCompute Default Key.

        • Para usar una clave BYOK, seleccione CMK.

      • Algorithm: El algoritmo de cifrado. Algoritmos compatibles: AES256, AESCTR y RC4.

    Método 2: Habilitarlo en DataWorks

    1. Si KMS ya está activado en la región de destino, omita este paso.

      En la página de activación de Key Management Service, haga clic en Activate Now.

    2. Inicie sesión en la consola de DataWorks y seleccione una región en la esquina superior izquierda.

    3. En el panel de navegación izquierdo, elija Workspace.

    4. En la página Workspaces, haga clic en Create Workspace.

      Create a workspace.

    5. Asocie un recurso de cómputo de MaxCompute.

      1. Una vez creado el espacio de trabajo, vaya a la página Workspaces. Busque el espacio de trabajo deseado y haga clic en Manage en la columna Actions.

      2. En la página Workspace Details, haga clic en Computing Resource en el panel de navegación izquierdo.

      3. En la página Computing Resource, haga clic en Associate Computing Resources y seleccione MaxCompute.

      4. Configure la Basic Information para Associate MaxCompute Computing Resource.

        • En MaxCompute Project, haga clic en Create.

          • Establezca Storage Encryption en Yes. Después, seleccione una Key y el Algorithm correspondiente.

          • Key: El tipo de clave. Opciones: MaxCompute Default Key o BYOK.

            • Para usar la clave predeterminada, seleccione MaxCompute Default Key.

            • Para usar una clave BYOK, seleccione CMK.

          • Algorithm: El algoritmo de cifrado. Algoritmos compatibles: AES256, AESCTR y RC4.

    Habilitar el cifrado de almacenamiento para un proyecto existente

    Solo es posible habilitar el cifrado de almacenamiento en proyectos no cifrados. Una vez habilitado, no podrá deshabilitar el cifrado ni cambiar el algoritmo.

    1. Configure los permisos.

      • Habilitar el cifrado de almacenamiento requiere modificar las Basic Properties del proyecto. Esta acción exige autenticación de RAM y el rol Super_Administrator.

      • Configurar otros parámetros del proyecto, como permisos o la lista blanca de direcciones IP, requiere roles administrativos. Por ejemplo, Super_Administrator, Admin o un rol personalizado.

      • Project management permissions. Use RAM for access control.

    2. Inicie sesión en la consola de MaxCompute y seleccione una región en la esquina superior izquierda.

    3. En el panel de navegación izquierdo, elija Manage Configurations > Projects.

    4. En la página Projects, haga clic en Manage en la columna Actions del proyecto deseado.

    5. En la página Project Settings, haga clic en la pestaña Parameter Configuration.

    6. En la sección Basic Properties, haga clic en Edit.

      • Establezca Storage Encryption en Yes. Después, seleccione una Key y el Algorithm correspondiente.

      • Key: El tipo de clave. Opciones: MaxCompute Default Key o BYOK.

        • Para usar la clave predeterminada, seleccione MaxCompute Default Key.

        • Para usar una clave BYOK, seleccione CMK.

      • Algorithm: El algoritmo de cifrado. Algoritmos compatibles: AES256, AESCTR y RC4.

    7. Haga clic en Submit para habilitar el cifrado de almacenamiento en el proyecto existente.

    Referencias

    • Utilice la autorización basada en ACL y en roles a nivel de proyecto y de tabla para restringir el acceso a los datos. ACL-based access control.

    • Para ocultar los datos confidenciales sin procesar a los usuarios autorizados que ejecutan consultas, aplique dynamic data masking a los resultados.

    • Para cifrar datos específicos dentro de una tabla, utilice Encryption functions de MaxCompute.