Data Security Center:Database column encryption

Data Security Center (DSC) vous permet de configurer le chiffrement des colonnes pour divers types de bases de données, tels que RDS for MySQL, RDS for PostgreSQL, PolarDB for MySQL, PolarDB for PostgreSQL, PolarDB for PostgreSQL (Compatible with Oracle) et PolarDB-X 2,0. Cette fonctionnalité garantit que seuls les utilisateurs autorisés peuvent déchiffrer et accéder aux données contenues dans les colonnes sensibles via un client toujours confidentiel, empêchant ainsi l'exposition du texte en clair à des tiers non autorisés.

Instructions

1. Lisez la documentation anglaise pour comprendre CE qui doit être communiqué

2. Rédigez le français À PARTIR DE ZÉRO — oubliez la structure des phrases anglaises

3. Conservez exactement tout le formatage markdown, les blocs de code, les liens et les images

4. Balises xref (<a data-tag="xref" ...>texte</a>) — conservez la balise ENTIERE avec tous ses attributs dans l'ordre et la casse d'origine, traduisez UNIQUEMENT le texte visible entre > et

5. Appliquez strictement toutes les règles spécifiques à la langue

6. Appliquez les règles de stopwords avec une tolérance zéro

7. Utilisez le mode impératif dans les étapes numérotées et les listes à puces procédurales

8. Assurez la cohérence terminologique — même terme = même traduction partout

9. Variez les débuts de phrase dans les listes/tableaux — aucun début répété 3 fois ou plus

10. Renvoyez UNIQUEMENT le document markdown français, sans explication

    Procédure

    Après avoir activé une instance DSC, vous devez suivre les étapes ci-dessous dans l'ordre lors de votre première utilisation du chiffrement des colonnes depuis la console : autoriser **DSC à accéder aux ressources cloud, procéder à la synchronisation des actifs de base de données, exécuter une tâche de découverte des données sensibles, puis activer le chiffrement des colonnes**.

    Étape 1 : Autoriser DSC à accéder aux ressources

    Une fois l'autorisation accordée, l'instance DSC peut accéder aux ressources des services cloud tels que Object Storage Service (OSS), ApsaraDB RDS et MaxCompute.

    1. Connectez-vous à la console Data Security Center.

    2. Dans la boîte de dialogue RAM-based Authorization, cliquez sur Authorize.

    Étape 2 : Synchroniser les actifs de base de données

    Vous devez synchroniser vos actifs avant d'utiliser DSC pour détecter les données sensibles ou auditer les activités de base de données dans des produits cloud tels que ApsaraDB RDS et PolarDB.

    1. Dans le volet de navigation de gauche, sélectionnez Asset Center.

    2. Sur la page Asset Center, cliquez sur Asset synchronization.

       Remarque

       Après l'achat d'une instance DSC, DSC synchronise automatiquement la liste de vos actifs cloud lors de votre première connexion à la console ; aucune action manuelle n'est requise. DSC analyse et synchronise automatiquement la liste des actifs tous les jours à 00:00.

    Étape 3 : Activer la classification et la gradation des données

    Pour utiliser le chiffrement des colonnes, vous devez d'abord autoriser une connexion à la base de données et terminer une tâche de découverte des données. DSC prend en charge les options Connect et Account Logon.

    Remarque

    Vous pouvez choisir une méthode de connexion en fonction de vos exigences de sécurité des données et des méthodes prises en charge par votre base de données, comme indiqué dans le tableau ci-dessous.

    • Utilisez une connexion en un clic si votre base de données le permet et si vous n'avez pas besoin d'utiliser cette base de données comme destination pour les tâches de masquage des données.

    • Si vous devez utiliser la base de données comme destination pour les tâches de masquage des données, vous devez utiliser une connexion basée sur des identifiants avec un compte disposant d'autorisations en lecture et en écriture.

    Types de connexion et actifs pris en charge

    Type de connexion	Description	Types d'actifs de données pris en charge
    Connexion en un clic	Connectez-vous à la base de données en un seul clic depuis la console. Lors du processus de connexion, DSC crée automatiquement un compte en lecture seule dans l'actif de données cible. Le nom du compte commence par sddp_auto. DSC utilise ce compte pour se connecter à la base de données cible afin d'effectuer des tâches de détection de données. Étant donné que ce compte ne dispose que d'autorisations en lecture seule, une base de données autorisée via la méthode de connexion en un clic ne peut pas servir de base de données de destination pour les tâches de masquage des données.	RDS : MySQL SQL Server (non pris en charge pour les instances en lecture seule) MariaDB (non pris en charge pour les instances en lecture seule) PolarDB : MySQL PolarDB-X 1,0 (DRDS) PolarDB-X 2,0 (non pris en charge pour les instances en lecture seule) OSS TableStore MaxCompute SLS
    Connexion basée sur des identifiants	Connectez-vous à la base de données en saisissant manuellement le compte et le mot de passe de la base de données. Si vous vous connectez à la base de données à l'aide d'un compte en lecture seule, vous pouvez effectuer des tâches de détection de données sensibles, de masquage des données et d'audit sur la base de données. Cependant, la base de données ne peut pas servir de base de données de destination pour les tâches de masquage des données. Si vous vous connectez à la base de données à l'aide d'un compte disposant d'autorisations en lecture et en écriture, la base de données peut servir de base de données de destination pour les tâches de masquage des données afin de stocker les données masquées.	Données structurées : RDS, PolarDB, PolarDB-X (anciennement DRDS), PolarDB-X 2,0, MongoDB, OceanBase et bases de données autogérées Big Data : AnalyticDB for MySQL et AnalyticDB for PostgreSQL (également connu sous le nom de AnalyticDB for PG)

    1. Dans le volet de navigation de gauche, sélectionnez Asset Center.

    2. Dans la section Structured Data, cliquez sur le type de données pour lequel vous souhaitez configurer le chiffrement des colonnes.

    3. Cliquez sur l'icône dans la colonne Data Classification de l'instance d'actif cible.

       Remarque

       Assurez-vous que l'instance possède une base de données et que son Instance Status est défini sur Running. Si aucune base de données n'a été créée, vous ne pouvez pas activer la classification et la gradation des données ni créer la tâche de découverte correspondante.

    4. Dans la boîte de dialogue Enable Classification and Grading, configurez les paramètres comme décrit dans le tableau suivant.

       Paramètre	Description
       Activation Method	Configurez les informations de compte utilisées pour se connecter à la base de données afin de détecter les données. Deux méthodes sont prises en charge : Automatically create database accounts : DSC crée automatiquement un compte en lecture seule dont le nom commence par le préfixe sddp_auto dans l'actif de données cible. DSC utilise ce compte pour se connecter à la base de données cible et exécuter des tâches de détection de données. Remarque Cette méthode est disponible uniquement pour les types de données qui prennent en charge l'activation en un clic. Manually enter username and password : Saisissez le compte et le mot de passe utilisés pour vous connecter à la base de données.
       Authorization Scope	L'étendue de l'autorisation pour la détection des données. Entire data source. Manage authorization scope in the data source list : Sélectionnez l'étendue d'autorisation souhaitée.
       Automatically create and start a default scan task	Si vous sélectionnez cette option, DSC crée automatiquement une tâche d'analyse par défaut après la connexion réussie à la base de données. Dans l'onglet Classification and Grading > Tasks > Identification Tasks, vous pouvez cliquer sur Default Tasks pour afficher l'état d'exécution de la tâche d'analyse. Pour plus d'informations, consultez Rechercher des données sensibles à l'aide d'une tâche de détection.
       Automatically connect to new databases.	Si vous sélectionnez cette option, DSC se connecte automatiquement aux nouvelles bases de données détectées dans votre instance de base de données après une synchronisation manuelle ou automatique des actifs.

    5. Une fois la configuration terminée, cliquez sur OK.

    Étape 4 : Afficher les détails de la base de données

    Une fois la tâche de découverte des données sensibles terminée, consultez les informations relatives à l'instance de base de données connectée à DSC, notamment le nombre total de colonnes, l'état du chiffrement des colonnes et les informations sur le compte de base de données.

    1. Dans le volet de navigation de gauche, sélectionnez Risk Governance > Column Encryption.

    2. Sur la page Column Encryption, consultez les informations suivantes. Vous pouvez utiliser le composant de recherche situé au-dessus de la liste des bases de données pour rechercher et afficher les informations d'une instance de base de données cible par type d'actif, état du chiffrement (telles que les colonnes chiffrées, non chiffrées ou dont le chiffrement a échoué) ou niveau de sensibilité.

       Descriptions des niveaux de sensibilité

       Niveau de sensibilité	Description
       N/A	Aucune information sensible définie dans le modèle d'identification actuel n'a été détectée.
       S1	Données non sensibles. La divulgation de ce type de données est peu susceptible de causer des dommages dans la plupart des situations. Exemples : provinces, villes et noms de produits.
       S2	Données généralement sensibles. Ce type de données ne convient pas à une divulgation publique et une violation de données aurait un faible impact. Exemples : noms et adresses.
       S3	Données critiques sensibles. Ces données sont hautement sensibles et même une fuite mineure pourrait causer des dommages graves. Exemples : pièces d'identité, mots de passe de compte et informations de base de données.
       S4	Données confidentielles essentielles. Ces données ne doivent jamais être divulguées en aucune circonstance. Exemples : données génétiques, empreintes digitales et scans iris.

       Élément	Description
       Columns	Indique le nombre total de colonnes dans les tables d'une instance de base de données connectée avec succès à DSC.
       Sensitive Data (S3 and Higher)	Colonnes dont le niveau de sensibilité est S3 ou supérieur selon les résultats de la découverte des données. Cela inclut des informations telles que les colonnes sensibles, les colonnes chiffrées, les colonnes non chiffrées et les colonnes dont le chiffrement a échoué.
       Accounts	Total Accounts : Chaque paire base de données-compte est comptée comme un élément. Par exemple, si le Compte C existe à la fois dans la Base de données A et la Base de données B, il est compté comme deux comptes de base de données. Accounts For Which No Encryption Configured : Si le chiffrement n'est activé pour aucune colonne de la base de données, l'autorisation du compte est définie sur Accounts For Which No Encryption Configured. Nombre de comptes disposant d'Plaintext Permissions ou d'Ciphertext Permission : Lorsque vous activez le chiffrement des colonnes pour une base de données, vous pouvez définir les autorisations des comptes de base de données pour accéder aux données des colonnes chiffrées. Vous pouvez cliquer sur n'importe quel nombre dans les statistiques ou sur Permission Settings. Dans le panneau Permission Settings, recherchez et affichez toutes les informations de compte pour l'instance de base de données cible afin de confirmer les autorisations d'accès pour les différents comptes de base de données.
       Informations de la liste	Affiche des informations telles que le Instance name, le Asset Type, la Region, l'Encryption Algorithm, les Plaintext Permission Accounts et la Encryption Check pour l'instance DSC. Vous pouvez configurer le chiffrement des colonnes uniquement pour les instances ayant Passed la vérification du chiffrement. Si la Encryption Check indique « Failed » en raison d'une version de base de données incompatible, cliquez sur Upgrade dans la colonne Encryption Check. Cela vous redirige vers la page de mise à niveau correspondante dans la console ApsaraDB RDS ou PolarDB pour mettre à niveau la version de la base de données. Pour plus d'informations, consultez FAQ sur les échecs de vérification. Après la mise à niveau de la version ou la mise à jour du statut, vous devez effectuer une Asset synchronization sur la console DSC pour récupérer les dernières informations de la base de données. Dans le volet de navigation de gauche, sélectionnez Asset Center. Dans l'onglet Authorization Management, cliquez sur Asset Authorization Management. Dans le panneau Asset Authorization Management, cliquez sur le type d'instance cible (RDS ou PolarDB) dans le volet de navigation des noms de produits à gauche, puis cliquez sur Asset synchronization.

    Étape 5 : Configurer le chiffrement des colonnes

    Après avoir confirmé les informations de l'instance de base de données cible et que le résultat de la Encryption Check est Passed, procédez à la configuration du chiffrement des colonnes.

    Activer le chiffrement en un clic

    Avant d'activer le chiffrement en un clic pour une base de données, son algorithme et sa méthode de chiffrement ne sont pas configurés. Dans cet état, vous ne pouvez pas activer le chiffrement pour des colonnes individuelles de la base de données.

    1. DSC prend en charge trois méthodes pour activer le chiffrement des colonnes.

       • Cliquez sur Rapid Encryption au-dessus de la liste des instances de base de données pour configurer le chiffrement des colonnes pour toutes les colonnes non chiffrées.

       • Cliquez sur Rapid Encryption dans la colonne Actions de l'instance de base de données cible pour configurer le chiffrement des colonnes pour cette instance.

       • Sur la page Asset Center, cliquez sur l'icône dans la colonne Column Encryption de l'instance de base de données cible.

    2. Dans le panneau Encryption Configuration, sélectionnez le Asset Type, le Instance name, l'Encryption Algorithm, la Encryption Method et les Plaintext Permission Accounts. Ensuite, sélectionnez les Databases, la Table et la Column cibles à chiffrer, puis cliquez sur OK.

       Prenez note des configurations de paramètres suivantes :

       • Encryption Method

         Si vous définissez la Encryption Method sur KMS Key, vous devez d'abord créer une clé symétrique dans Key Management Service (KMS).

         Important

         Après avoir configuré le chiffrement des colonnes, si vous modifiez la méthode de chiffrement, DSC redémarre la tâche de chiffrement. Pendant le redémarrage, les données des colonnes initialement chiffrées sont stockées en clair, ce qui présente un risque de sécurité lié à l'exposition des données. Pour éviter ce risque de sécurité, nous vous recommandons de sélectionner une méthode de chiffrement fixe et de ne pas la modifier.

       • Plaintext Permission Accounts

         Une fois la configuration du chiffrement terminée, DSC accorde par défaut à tous les comptes de la base de données une autorisation de texte chiffré.

         • Pour les bases de données PolarDB for MySQL, PolarDB for PostgreSQL, PolarDB for PostgreSQL (compatible Oracle), ApsaraDB RDS for PostgreSQL et PolarDB-X 2,0, les comptes reçoivent par défaut l'Ciphertext Permission (JDBC Decryption). Ces comptes peuvent accéder aux données chiffrées par défaut et aux données en clair après décryptage via un client pour le décryptage côté client.

         • Pour les bases de données ApsaraDB RDS for MySQL où la Encryption Method est définie sur KMS Key, les comptes reçoivent par défaut l'Ciphertext Permission (JDBC Decryption).

         • Pour les bases de données ApsaraDB RDS for MySQL où la Encryption Method est définie sur Local Key, les comptes reçoivent par défaut l'Ciphertext Permission (No Decryption Permission) et ne peuvent accéder qu'aux données chiffrées.

         Vous pouvez sélectionner des comptes à ajouter à une liste d'autorisation. Ces comptes disposeront d'une autorisation en clair pour accéder directement aux données en clair dans les colonnes chiffrées.

         Important

         Lorsque vous autorisez une base de données à se connecter à DSC, si vous utilisez une connexion en un clic, un compte de base de données dont le nom commence par sddp_auto est automatiquement créé. Si vous utilisez une connexion basée sur des identifiants, un compte de base de données est défini dans les identifiants. Ce compte de base de données permet à DSC de lire les données de la base de données pour les analyses de classification et de gradation des données sensibles. Par conséquent, si vous devez continuer à analyser les dernières données de la base de données pour la classification et la gradation des données sensibles, vous devez attribuer à ce compte de base de données une autorisation en clair.

    Autres opérations

    Modifier les autorisations des comptes de base de données

    À l'exception des comptes disposant d'Plaintext Permissions, tous les autres comptes de l'instance de base de données disposent d'une autorisation de texte chiffré. Vous pouvez modifier les autorisations des comptes en Plaintext Permissions, Ciphertext Permission (No Decryption Permission) ou Ciphertext Permission (JDBC Decryption) en fonction de vos besoins métier.

    1. Sur la page Risk Governance > Column Encryption, cliquez sur Permission Settings dans la section Accounts.

       Vous pouvez également cliquer sur Edit dans la colonne Actions de la liste des instances. Dans le panneau Edit, cliquez sur Configure sur Account Permissions.

    2. Dans le panneau Permission Settings, recherchez l'instance et le compte cibles pour afficher les autorisations actuelles du compte.

       Remarque

       Si un compte de base de données nouvellement ajouté n'apparaît pas dans la liste, effectuez une Asset synchronization puis vérifiez à nouveau.

    3. Cliquez sur Modify Permissions dans la colonne Actions du compte cible.

       Vous pouvez également sélectionner plusieurs comptes cibles disposant de la même autorisation et cliquer sur Batch Modify Permissions sous la liste.

    4. Dans la boîte de dialogue Modifier les autorisations, sélectionnez l'autorisation cible et cliquez sur OK.

    Modifier les configurations de chiffrement des colonnes

    Après avoir terminé la configuration du chiffrement :

    • Dans la liste des instances, développez l'instance cible. Dans la liste des bases de données, recherchez les Databases, la Table et le nom de la Column cibles, puis cliquez sur Enable Encryption ou Disable Encryption pour configurer le chiffrement d'une seule colonne.

    • Dans la colonne Actions de la liste des instances, cliquez sur Edit. Dans le panneau Edit, modifiez l'algorithme de chiffrement, la méthode de chiffrement et l'étendue des colonnes chiffrées.

      • Cliquez sur Modify sur Encryption Algorithm ou Encryption Method pour mettre à jour l'algorithme ou la méthode de chiffrement.

        Important

        La modification de la méthode de chiffrement redémarre la tâche de chiffrement. Pendant le redémarrage, les données des colonnes initialement chiffrées sont stockées en clair, ce qui présente un risque de sécurité lié à l'exposition des données. Procédez avec prudence.

      • Dans la liste des bases de données pour la configuration des colonnes chiffrées, recherchez les Databases, la Table et le nom de la Column cibles, puis cliquez sur Enable Encryption ou Disable Encryption pour mettre à jour l'étendue des colonnes chiffrées.

    Exemple de chiffrement de colonne MySQL

    Après avoir configuré le chiffrement des colonnes et les autorisations de compte, vous pouvez vérifier l'accès aux données dans les colonnes chiffrées. Si un compte disposant d'une autorisation de texte chiffré récupère du texte chiffré lors de l'accès à une colonne chiffrée, cela indique que la configuration est effective.

    Remarque

    Les comptes de base de données ApsaraDB RDS for PostgreSQL prennent uniquement en charge l'autorisation de texte en clair et l'autorisation de texte chiffré (décryptage JDBC). La méthode de vérification des données de chiffrement de colonne est identique à celle d'ApsaraDB RDS for MySQL. La section suivante utilise ApsaraDB RDS for MySQL comme exemple pour montrer comment vérifier l'accès aux données de colonne chiffrées dans une base de données ApsaraDB RDS.

    ApsaraDB RDS for MySQL

    Prérequis

    Vous avez connecté une instance ApsaraDB RDS for MySQL 8.0 à DSC et terminé la classification et la hiérarchisation des données sensibles.

    Les résultats de l'analyse indiquent que la table users de la base de données sddp_em_db contient trois colonnes : la colonne phone a un niveau de sensibilité de S3 (Informations personnelles - Numéro de téléphone mobile), tandis que les colonnes username et id ont un niveau de sensibilité N/A. Toutes les colonnes sont actuellement non chiffrées et la vérification du chiffrement a réussi.

    Configurer le chiffrement des colonnes

    Suivez les étapes décrites dans Activer le chiffrement en un clic pour configurer le chiffrement des colonnes pour cette instance de base de données :

    1. Activez le chiffrement pour la colonne phone de la table users.

    2. Définissez les autorisations d'accès suivantes pour les comptes de base de données liés.

       Définissez l'autorisation de texte en clair pour le compte sddp_em01, l'autorisation de texte chiffré (décryptage JDBC) pour le compte sddp_em03 et l'autorisation de texte chiffré (sans décryptage) pour le compte sddp_em02.

    Accéder aux données chiffrées

    1. Connectez-vous à la base de données à l'aide d'un compte disposant des Plaintext Permissions. Pour plus d'informations, consultez la rubrique Se connecter à une base de données ApsaraDB RDS via DMS.

    2. Exécutez une instruction SELECT pour afficher la table de données. La colonne chiffrée renvoie des données en texte en clair.

    3. Basculez vers le compte disposant de l'**Ciphertext Permission (No Decryption Permission) et connectez-vous à la base de données. Exécutez une instruction SELECT pour afficher la table de données. La colonne chiffrée renvoie des données en texte chiffré.

    4. Basculez vers le compte disposant de l'**Ciphertext Permission (JDBC Decryption) et connectez-vous à la base de données. Exécutez une instruction SELECT pour afficher la table de données. La colonne chiffrée renvoie des données en texte chiffré.

    PolarDB for MySQL

    Prérequis

    Un cluster PolarDB for MySQL 5.7 a été connecté à DSC pour la classification et la hiérarchisation des données sensibles. Les résultats de l'analyse sont les suivants.

    Les résultats de l'analyse indiquent que dans la table user3 de la base de données sddp_test, la colonne password a un niveau de sensibilité de S4 (Informations personnelles sensibles - Mot de passe), la colonne age a un niveau de sensibilité de S2 (Informations personnelles - Âge) et les colonnes restantes ont un niveau de sensibilité N/A. Toutes les colonnes sont actuellement non chiffrées et la vérification du chiffrement a réussi.

    Configurer le chiffrement des colonnes

    Suivez les étapes décrites dans Activer le chiffrement en un clic pour configurer le chiffrement des colonnes pour cette instance de base de données :

    1. Activez le chiffrement pour la colonne password de la table user3.

    2. Définissez les autorisations d'accès suivantes pour les comptes de base de données liés.

       Définissez l'autorisation de texte en clair pour le compte sddp_polardb et l'autorisation de texte chiffré (décryptage JDBC) pour le compte sddp_03.

    Accéder aux données chiffrées

    Étant donné que DMS se connecte au cluster PolarDB for MySQL via le point de terminaison principal, la politique de chiffrement des colonnes ne prend pas effet. Par conséquent, cet exemple utilise la ligne de commande pour se connecter au cluster PolarDB for MySQL via le point de terminaison du proxy de base de données afin de vérifier les résultats du chiffrement des colonnes.

    1. Installez une version de MySQL sur votre serveur compatible avec votre système d'exploitation.

    2. Connectez-vous au cluster de base de données en exécutant la commande suivante :

       mysql -h<endpoint> -P<port> -u<username> -p<password>

       • Point de terminaison et port : utilisez le point de terminaison du cluster et assurez-vous que votre serveur peut accéder à ce point de terminaison. Pour obtenir des informations détaillées sur la configuration et l'affichage des points de terminaison de connexion, consultez les rubriques Configurer un proxy de base de données et Gérer les points de terminaison.

       • Nom d'utilisateur et mot de passe : cet exemple utilise respectivement le nom d'utilisateur et le mot de passe des comptes de base de données disposant de l'autorisation de texte en clair et de l'autorisation de texte chiffré (décryptage JDBC).

       Exemples de commandes de connexion :

       • Utilisation d'un compte disposant d'une autorisation de texte en clair : mysql -hpc-bp1fd7v6f.rwlb.rds.aliyuncs.com -P3306 -usddp_polardb -pH4.

       • Utilisation d'un compte disposant d'une autorisation de texte chiffré (décryptage JDBC) : mysql -hpc-bp1fd7v6f.rwlb.rds.aliyuncs.com -P3306 -usddp_03 -pP3.

    3. Exécutez les commandes suivantes pour afficher la table de données.

       1. Exécutez la commande use <database_name>; pour entrer dans la base de données cible. Dans cet exemple, la base de données sddp_test est sélectionnée.

          use sddp_test;

       2. Exécutez une instruction SELECT pour afficher la table de données.

          SELECT * FROM user3 LIMIT 0, 3;

       Exemples de résultats :

       • Pour le compte disposant d'une autorisation de texte en clair, la colonne chiffrée renvoie des données en texte en clair.

         mysql> use sddp_test;
         Database changed
         mysql> SELECT * FROM user3 LIMIT 0, 3;
         +-----+------+----------+------+
         | age | name | password | name |
         +-----+------+----------+------+
         | xxx | xxx  | xxx      | xxx  |
         | xxx | xxx  | xxx      | xxx  |
         | xxx | xxx  | xxx      | xxx  |
         +-----+------+----------+------+
         3 rows in set (0.01 sec)

       • Pour le compte disposant d'une autorisation de texte chiffré (décryptage JDBC), la colonne chiffrée renvoie des données en texte chiffré.

         mysql> use sddp_test;
         Database changed
         mysql> SELECT * FROM user3 LIMIT 0, 3;
         +-----+------+----------------------------------------------+------+
         | age | name | password                                     | name |
         +-----+------+----------------------------------------------+------+
         | xxx | xxx  | /0D9Pxxx...                                  | xxx  |
         | xxx | xxx  | Q0D9Pxxx...                                  | xxx  |
         | xxx | xxx  | 7kD9Pxxx...                                  | xxx  |
         +-----+------+----------------------------------------------+------+
         3 rows in set (0.01 sec)

    Décryptage côté client

    Pour accéder au texte en clair dans une colonne chiffrée, vous pouvez utiliser un compte disposant de l'**Ciphertext Permission (JDBC Decryption) et déchiffrer les données à l'aide d'un client pour le décryptage côté client en Java ou Go.

    Langage	Type de base de données	Documentation
    Java	ApsaraDB RDS for MySQL ApsaraDB RDS for PostgreSQL PolarDB for MySQL PolarDB for PostgreSQL PolarDB for PostgreSQL (compatible Oracle) PolarDB-X 2,0	Intégrer EncJDBC (Prend en charge le décryptage avec une clé locale et une clé KMS)
    Go	ApsaraDB RDS for MySQL PolarDB for MySQL PolarDB-X 2,0	Intégrer le pilote GoLang (Prend en charge le décryptage avec une clé locale uniquement)

    FAQ sur les échecs de vérification

    • La version de la base de données ApsaraDB RDS ou PolarDB n'est pas prise en charge

      Cliquez sur Upgrade dans la colonne Encryption Check pour accéder à la page de mise à niveau correspondante sur la console ApsaraDB RDS ou PolarDB et mettre à niveau la version de la base de données.

      • Mettre à niveau la version majeure d'une instance ApsaraDB RDS for MySQL

      • Mettre à niveau la version majeure d'une instance ApsaraDB RDS for PostgreSQL

      • Mettre à niveau la version majeure d'un cluster PolarDB for MySQL

    • La version mineure du moteur ApsaraDB RDS ou la version du proxy de base de données PolarDB n'est pas prise en charge

      • Mettre à jour la version mineure du moteur d'une instance ApsaraDB RDS for MySQL

      • Mettre à jour la version mineure du moteur d'une instance ApsaraDB RDS for PostgreSQL

      • Gérer les versions du proxy de base de données pour un cluster PolarDB for MySQL

      • Gérer la version du moteur de base de données d'un cluster PolarDB for PostgreSQL

    • L'instance de base de données ApsaraDB RDS est une instance en lecture seule

      Lorsqu'une instance en lecture seule est créée, les données sont répliquées à partir d'une instance secondaire, ce qui la rend cohérente avec l'instance principale. Les mises à jour des données sur l'instance principale sont également automatiquement synchronisées avec toutes les instances en lecture seule immédiatement après la fin de l'opération sur l'instance principale. Par conséquent, vous pouvez configurer le chiffrement des colonnes sur l'instance principale.

    • L'instance de base de données n'est pas dans l'état « En cours d'exécution »

      Par exemple, les instances de base de données suspendues ou en cours de maintenance ne prennent pas en charge la configuration du chiffrement des colonnes. Vous pouvez démarrer l'instance ou attendre la fin de la maintenance. Vérifiez que l'état de l'instance de base de données est Running avant de configurer le chiffrement des colonnes.

    Quotas et limites

    • Limites régionales : assurez-vous que la région de votre instance prend en charge la fonctionnalité de chiffrement des colonnes. Pour plus d'informations, consultez la rubrique Régions prises en charge.

    • Limites de la base de données :

      Type de base de données	Version	Algorithme de chiffrement	Méthode de chiffrement	Autorisation
      ApsaraDB RDS for MySQL	La version majeure du moteur est MySQL 5.7 ou MySQL 8.0, et la version mineure du moteur est 20240731 ou ultérieure.	AES-128-GCM. AES-256-GCM : pris en charge uniquement si la version mineure du moteur est 20241231 ou ultérieure. SM4-128-GCM : pris en charge uniquement si la version mineure du moteur est 20241231 ou ultérieure.	clé locale. Clé KMS : prise en charge uniquement si la version mineure du moteur est 20241231 ou ultérieure et que le type de stockage est disque cloud.	Autorisation de texte chiffré (sans autorisation de décryptage) : prise en charge uniquement lorsqu'une clé locale est utilisée. Il s'agit de l'autorisation par défaut. Autorisation de texte chiffré (décryptage JDBC) : il s'agit de l'autorisation par défaut lorsqu'une clé KMS est utilisée. Autorisation de texte en clair.
      ApsaraDB RDS for PostgreSQL	La version majeure du moteur est PostgreSQL 16, et la version mineure du moteur doit être 20241230 ou ultérieure.	AES-256-GCM.	clé locale.	Autorisation de texte chiffré (décryptage JDBC) (Par défaut). Autorisation de texte en clair.
      PolarDB for MySQL	La version majeure du moteur est MySQL 5.7 ou MySQL 8.0, et la version du proxy de base de données doit être 2.8.36 ou ultérieure. Important Si vous configurez des politiques de chiffrement de colonne pour un cluster PolarDB for MySQL, vous devez utiliser un point de terminaison de cluster en lecture/écriture. Les points de terminaison principaux ne prennent pas en charge les politiques de chiffrement de colonne. Configurer un proxy de base de données et Gérer les points de terminaison.	AES-128-GCM.	clé locale.
      PolarDB for PostgreSQL	La version majeure du moteur est PostgreSQL 14, et la version de la base de données est 2.0.14.15.31.0 ou ultérieure.	AES-256-GCM.	clé locale.
      PolarDB for PostgreSQL (compatible Oracle)	Seule la version 2.0 compatible avec la syntaxe Oracle est prise en charge. La version majeure du moteur est PostgreSQL 14, et la version de la base de données est 2.0.14.15.31.0 ou ultérieure.	AES-256-GCM.	clé locale.
      PolarDB-X 2,0 Édition Entreprise	La série doit être l'Édition Entreprise. La version de la base de données doit être polardb-2.5.0_5.4.20-20250714 ou ultérieure.	AES-128-GCM. AES-256-GCM : pris en charge uniquement si la version de la base de données est polardb-2.5.0_5.4.21-20260414 ou ultérieure. SM4-128-GCM.	clé locale. Clé KMS : prise en charge uniquement si la version de la base de données est polardb-2.5.0_5.4.21-20260414 ou ultérieure.
      PolarDB-X 2,0 Édition Standard	La version de la base de données doit être polardb-2.5.0_standard_xcluster8.4.21-20260423 ou ultérieure.	AES-128-GCM SM4_128_GCM	clé locale. Clé KMS : prise en charge uniquement si la version de la base de données est polardb-2.6.0_standard_xcluster8.4.21-20260711 ou ultérieure.

    Documents connexes

    • Pour plus d'informations sur les fonctionnalités et les principes de fonctionnement du chiffrement des colonnes de base de données, consultez la rubrique Présentation du chiffrement des colonnes.

    • Pour obtenir des instructions détaillées sur l'autorisation et la connexion à la base de données, consultez la rubrique Autorisation générale de la base de données.

    • Pour obtenir des instructions détaillées sur la façon d'afficher et de corriger les résultats de la découverte de données sensibles, consultez la rubrique Rechercher des données sensibles à l'aide d'une tâche de découverte.

    • Si les données de colonne sensible dans une base de données changent après l'autorisation, vous devez les réanalyser. Pour plus d'informations, consultez la rubrique Rechercher des données sensibles à l'aide d'une tâche de découverte.