La fonctionnalité de chiffrement des colonnes, fournie par Data Security Center (DSC), vous permet de chiffrer les données sensibles stockées dans les colonnes de votre instance ApsaraDB RDS for PostgreSQL. Elle empêche tout personnel non autorisé d'accéder aux données en clair via les logiciels de la plateforme cloud ou les outils de connexion à la base de données. Cette fonction garantit que les données restent accessibles aux applications autorisées, tout en demeurant illisibles au sein même de la base de données, offrant ainsi une protection contre les menaces internes et externes. Vos données sur le cloud deviennent ainsi un actif véritablement privé.
Prérequis
L'instance doit exécuter la version majeure 16 du moteur ApsaraDB RDS for PostgreSQL, avec une version mineure égale ou supérieure à 20250228.
-
L'instance doit se trouver dans l'une des régions suivantes :
-
Chine continentale
Chine (Qingdao), Chine (Pékin), Chine (Zhangjiakou), Chine (Hohhot), Chine (Hangzhou), Chine (Shanghai), Chine (Shenzhen), Chine (Guangzhou), Chine (Chengdu).
-
Hors de Chine continentale
Chine (Hong Kong), Singapour, Malaisie (Kuala Lumpur), Indonésie (Jakarta), Allemagne (Francfort).
-
Présentation
Le chiffrement des colonnes pour ApsaraDB RDS for PostgreSQL s'appuie sur l'algorithme AES-256-GCM et sur un chiffrement local des clés. Vous pouvez configurer le chiffrement pour les colonnes contenant des données sensibles afin qu'elles soient stockées sous forme de texte chiffré. Les utilisateurs autorisés accèdent ensuite aux données en clair via un client, tel que le pilote de chiffrement de colonne (JDBC), qui assure le déchiffrement. Il est possible de sélectionner et de modifier à tout moment l'étendue du chiffrement, notamment l'instance ApsaraDB RDS for PostgreSQL, la base de données, les tables et les colonnes concernées.
Préparatifs
Avant d'activer le chiffrement des colonnes, effectuez les étapes suivantes dans l'ordre : activez ou mettez à niveau DSC, autorisez DSC à accéder aux ressources cloud, autorisez les actifs de base de données, puis connectez-vous à la base de données pour exécuter une tâche d'identification des données sensibles.
1. Activer ou mettre à niveau DSC
2. Autoriser l'accès aux ressources cloud
3. Autoriser les actifs de base de données
4. Se connecter et identifier les données sensibles
Connectez-vous à la console Data Security Center. Dans le volet de navigation de gauche, sélectionnez Asset Center.
Sur l'onglet Authorization Management, cliquez sur Account Logon dans la colonne Actions de l'instance d'actif cible.
Dans le panneau Account Logon, cliquez sur Add Credential dans la colonne Actions de la base de données cible.
-
Dans la boîte de dialogue Add Credential, sélectionnez un identifiant. Laissez l'option Scan assets and identify sensitive data now. sélectionnée ou désélectionnez-la, puis cliquez sur OK.
Si vous n'avez pas encore créé d'identifiant, accédez à l'onglet Create Credential dans la boîte de dialogue Add Credential. Configurez le Credential Name, le Username, le Password et le Credential Type pour le compte de connexion à la base de données, puis cliquez sur OK.
ImportantSi vous sélectionnez Scan assets and identify sensitive data now., DSC crée et exécute automatiquement une tâche d'identification par défaut. Cette tâche lit les données de la base de données et consomme des performances de lecture. Nous vous recommandons d'effectuer cette opération pendant les heures creuses.
Si vous désélectionnez Scan assets and identify sensitive data now., vous pouvez exécuter manuellement la tâche par défaut. Dans le volet de navigation de gauche, sélectionnez . Sur l'onglet Identification Tasks, repérez la tâche dans la liste Default Tasks et cliquez sur Rescan.
-
Cliquez sur l'icône
située à gauche de l'instance de base de données pour afficher son statut de connexion et de fonctionnalité.Le statut de connexion de la base de données s'affiche sous la forme Connected.
Activer le chiffrement des colonnes
-
Connectez-vous à la console Data Security Center. Dans le volet de navigation de gauche, sélectionnez .
ImportantLa colonne Encryption Check doit afficher Passed avant que vous puissiez configurer le chiffrement des colonnes pour la base de données. Si elle indique Failed, il se peut que la version majeure ou mineure du moteur de la base de données ne prenne pas en charge le chiffrement des colonnes. Pour plus d'informations, consultez la section FAQ de cette rubrique.
-
Cliquez sur Rapid Encryption au-dessus de la liste des instances de base de données pour configurer le chiffrement des colonnes pour toutes les colonnes non chiffrées.
Vous pouvez également cliquer sur Rapid Encryption dans la colonne Actions d'une instance de base de données spécifique afin de configurer le chiffrement des colonnes uniquement pour cette instance.
-
Dans le panneau Encryption Configuration, sélectionnez le Asset Type, le Instance name et les Plaintext Permission Accounts. Sélectionnez ensuite les Databases, la Table et la Column cibles à chiffrer, puis cliquez sur OK. Tenez compte des points suivants :
ApsaraDB RDS for PostgreSQL prend uniquement en charge l'algorithme de chiffrement AES-256-GCM et la méthode de chiffrement local.
Une fois le chiffrement configuré, les comptes de base de données disposent par défaut de l'autorisation Ciphertext Permission (JDBC Decryption). Par défaut, ces comptes accèdent au texte chiffré des colonnes chiffrées. Vous pouvez utiliser du code côté client avec une clé locale pour déchiffrer les données et afficher le texte en clair d'origine.
-
Si vous avez besoin d'accéder directement aux données en clair, ajoutez le compte de base de données correspondant à la liste des Plaintext Permission Accounts. Cela accorde au compte l'autorisation Plaintext Permission, lui permettant d'accéder directement aux données en clair des colonnes chiffrées.
ImportantSi vous devez effectuer une classification et une hiérarchisation des données sensibles sur les dernières données de la base de données, le compte de base de données utilisé comme identifiant (le compte servant à connecter DSC à l'instance ApsaraDB RDS for PostgreSQL) doit disposer de l'autorisation Plaintext Permission.
Modifier le chiffrement des colonnes
Étendue du chiffrement
Après avoir activé le chiffrement des colonnes, vous pouvez modifier l'étendue des colonnes chiffrées en activant ou désactivant individuellement la fonctionnalité pour des colonnes spécifiques au sein de l'instance de base de données, selon vos besoins.
Connectez-vous à la console Data Security Center. Dans le volet de navigation de gauche, sélectionnez .
Dans la liste des instances, développez l'instance cible. Dans la liste des bases de données, repérez les Databases, la Table et le nom de la Column cibles, puis cliquez sur Enable Encryption ou Disable Encryption pour configurer le chiffrement de cette colonne.
Autorisations de compte
À l'exception des comptes ayant reçu les Plaintext Permissions, tous les autres comptes de l'instance de base de données disposent de l'autorisation Ciphertext Permission (JDBC Decryption). Vous pouvez modifier l'autorisation d'un compte pour lui attribuer les Plaintext Permissions ou l'autorisation Ciphertext Permission (JDBC Decryption) en fonction des besoins de votre activité.
Connectez-vous à la console Data Security Center.
-
Sur la page , cliquez sur Permission Settings dans la zone Accounts.
Vous pouvez également cliquer sur Edit dans la colonne Actions de la liste des instances. Dans le panneau Edit, cliquez sur Configure pour les Account Permissions.
-
Dans le panneau Permission Settings, recherchez l'instance et le compte cibles pour afficher les autorisations actuelles.
RemarqueSi un compte de base de données nouvellement ajouté n'apparaît pas dans la liste, effectuez d'abord la Asset synchronization, puis vérifiez à nouveau.
-
Dans la colonne Actions du compte cible, cliquez sur Modify Permissions.
Vous pouvez également sélectionner plusieurs comptes cibles disposant de la même autorisation et cliquer sur Batch Modify Permissions sous la liste.
Dans la boîte de dialogue Modifier les autorisations, sélectionnez l'autorisation cible et cliquez sur OK.
Vérifier le chiffrement des colonnes
Vous pouvez configurer le chiffrement des colonnes de la base de données et les autorisations des comptes de base de données afin de vérifier le résultat du chiffrement.
Connectez une instance ApsaraDB RDS for PostgreSQL 16 à DSC et effectuez la classification et la hiérarchisation des données sensibles. Activez le chiffrement des colonnes pour une colonne spécifique de l'instance RDS, par exemple la colonne birth_date de la table students01**. Définissez ensuite l'autorisation d'un compte de base de données sur Plaintext Permissions et laissez un autre compte avec l'autorisation Ciphertext Permission (JDBC Decryption). Sur la page d'état du chiffrement des colonnes pour la table de données, la colonne birth_date de la table public.students01 dans la base de données testdb01 a le chiffrement activé (niveau de sensibilité S2, étiquetée comme information personnelle, avec l'algorithme de chiffrement AES_256_GCM), tandis que les autres colonnes (name, sid, id, extra_info, gender) ne sont pas chiffrées.
Utilisez un compte disposant de l'autorisation Ciphertext Permission (JDBC Decryption) pour vous connecter à la base de données via Data Management Service (DMS). Exécutez l'instruction
SELECT * FROM students01;pour afficher la table de données. Lorsqu'elle est interrogée avec un compte disposant de l'autorisation Ciphertext Permission (JDBC Decryption), la colonnebirth_daterenvoie une chaîne de texte chiffré au lieu d'une date en clair.Utilisez un compte disposant de l'autorisation Clear text permission pour vous connecter à la base de données via Data Management Service (DMS). Exécutez l'instruction
SELECT * FROM students01;pour afficher la table de données. La colonne chiffrée renvoie des données en clair.
Utilisation côté client
Si votre compte de base de données dispose de l'autorisation Ciphertext Permission (JDBC Decryption), utilisez le pilote de chiffrement de colonne (JDBC) pour vous connecter à la base de données RDS cible. Cela permet à votre application Java d'accéder aux données des colonnes chiffrées. Le pilote JDBC déchiffre automatiquement le texte chiffré et renvoie les données en clair, rendant le processus transparent pour l'application. Pour plus d'informations, consultez la documentation relative au pilote de chiffrement de colonne (JDBC).
FAQ
Échec de la vérification du chiffrement
Contenu connexe
Pour en savoir plus sur les fonctionnalités et les principes de fonctionnement du chiffrement des colonnes de base de données, consultez la rubrique Présentation du chiffrement des colonnes.
Si les données des colonnes sensibles d'une base de données changent après l'autorisation, réanalysez-les. Pour plus d'informations, consultez la rubrique Rechercher des données sensibles à l'aide d'une tâche de découverte.