Column encryption - Database Autonomy Service - Centre de documentation Alibaba Cloud

Database Autonomy Service (DAS) prend en charge le chiffrement au niveau des colonnes pour les bases de données RDS for MySQL, RDS for PostgreSQL, PolarDB for MySQL et PolarDB for PostgreSQL. Vous pouvez chiffrer des colonnes de données spécifiques au repos afin de protéger les informations sensibles. Les utilisateurs autorisés peuvent déchiffrer et accéder aux données en clair via un pilote client dédié.

Prérequis

Avant de commencer, vérifiez que les conditions suivantes sont remplies :

Autorisation de l'instance : sur la page Liste des instances de DAS, autorisez à la fois la détection des données sensibles et le chiffrement de colonne pour l'instance cible.

Sur la page Instance List, cliquez sur l'onglet Cloud Instances, repérez l'instance cible, puis cliquez sur Enable dans la colonne Security Center.
DAS Security Center :
- Vous avez souscrit à DAS Security Center.
- Votre quota de chiffrement de colonne est suffisant.
Prise en charge régionale : votre instance doit se trouver dans une région qui prend en charge le chiffrement de colonne. Consultez la rubrique Séries de produits et fonctionnalités prises en charge pour plus de détails.
Détection des données sensibles : une tâche de détection doit avoir été exécutée avec succès. Pour plus d'informations, consultez la rubrique Gérer la détection des données sensibles.

Informations de facturation

Niveau gratuit : DAS offre un quota gratuit permettant de chiffrer une colonne.
Niveau payant : pour chiffrer davantage de colonnes, achetez un quota de chiffrement de colonne. Ce service est facturé sur la base d'un abonnement (mensuel ou annuel). Pour plus de détails, consultez la rubrique Détails de la facturation.
Coûts KMS : si vous utilisez une clé KMS pour le chiffrement, des frais distincts s'appliquent au service de gestion des clés fourni par KMS. Pour plus de détails, consultez la rubrique Facturation du produit.

Limites et prise en charge du chiffrement

Type de base de données	Version	Algorithme de chiffrement	Méthode de chiffrement	Autorisation
ApsaraDB RDS for MySQL	La version majeure du moteur est MySQL 5.7 ou MySQL 8.0, et la version mineure du moteur est 20240731 ou ultérieure.	AES-128-GCM. AES-256-GCM : pris en charge uniquement si la version mineure du moteur est 20241231 ou ultérieure. SM4-128-GCM : pris en charge uniquement si la version mineure du moteur est 20241231 ou ultérieure.	Clé locale. Clé KMS : pris en charge uniquement si la version mineure du moteur est 20241231 ou ultérieure et si le type de stockage est disque cloud.	Autorisation texte chiffré (sans autorisation de déchiffrement) : pris en charge uniquement lorsqu'une clé locale est utilisée. Il s'agit de l'autorisation par défaut. Autorisation texte chiffré (déchiffrement JDBC) : il s'agit de l'autorisation par défaut lorsqu'une clé KMS est utilisée. Autorisation texte en clair.
ApsaraDB RDS for PostgreSQL	La version majeure du moteur est PostgreSQL 16, et la version mineure du moteur doit être 20241230 ou ultérieure.	AES-256-GCM.	Clé locale.	Autorisation texte chiffré (déchiffrement JDBC) (Par défaut). Autorisation texte en clair.
PolarDB for MySQL	La version majeure du moteur est MySQL 5.7 ou MySQL 8.0, et la version du proxy de base de données doit être 2.8.36 ou ultérieure. Important Si vous configurez des politiques de chiffrement de colonne pour un cluster PolarDB for MySQL, vous devez utiliser un endpoint de cluster en lecture/écriture. Les endpoints principaux ne prennent pas en charge les politiques de chiffrement de colonne. Configurer le proxy de base de données et Gérer les endpoints.	AES-128-GCM.	Clé locale.
PolarDB for PostgreSQL	La version majeure du moteur est PostgreSQL 14, et la version de la base de données est 2.0.14.15.31.0 ou ultérieure.	AES-256-GCM.	Clé locale.
PolarDB for PostgreSQL (compatible Oracle)	Seule la version 2.0 compatible avec la syntaxe Oracle est prise en charge. La version majeure du moteur est PostgreSQL 14, et la version de la base de données est 2.0.14.15.31.0 ou ultérieure.	AES-256-GCM.	Clé locale.
PolarDB-X 2,0	La série doit être Enterprise Edition. La version de la base de données doit être polardb-2.5.0_5.4.20-20250714 ou ultérieure.	AES-128-GCM. AES-256-GCM : pris en charge uniquement si la version de la base de données est polardb-2.5.0_5.4.21-20260414 ou ultérieure. SM4-128-GCM.	Clé locale. Clé KMS : pris en charge uniquement si la version de la base de données est polardb-2.5.0_5.4.21-20260414 ou ultérieure.

Étapes de configuration

Connectez-vous à la console DAS.
Dans le volet de navigation de gauche, cliquez sur Security Center > Column Encryption.
Dans la colonne Actions de l'instance cible, repérez votre instance dans la liste :
1. Pour créer une nouvelle politique, cliquez sur Rapid Encryption.
  
  Remarque
  Pour une instance disposant déjà d'une politique de chiffrement, cliquez sur Edit dans la colonne Actions pour modifier la politique.
Dans le panneau latéral Encryption Configuration, sélectionnez le Asset Type, le Instance Name, l'Encryption Algorithm, la Encryption Method et les Plaintext Permission Accounts. Sélectionnez ensuite la Database, la Table et la Column à chiffrer, puis cliquez sur OK.
Sur la page principale Column Encryption, cliquez sur l'icône située à gauche de l'instance cible pour développer la liste des bases de données, des tables et des colonnes.
Dans la colonne Actions de la liste développée, cliquez sur Disable Encryption ou Enable Encryption, puis cliquez sur OK dans la boîte de dialogue qui s'affiche.

Accès aux données chiffrées depuis votre application

Pour déchiffrer et lire les données en clair, utilisez un pilote client spécifique dans votre application :

Java (JDBC) : utilisez le pilote EncJDBC pour vous connecter à la base de données.
Go : utilisez le pilote alibabacloud-encdb-mysql-go-client.