Hologres：Enkripsi data saat diam

Batasan

• Hanya Hologres V1.1 ke atas yang mendukung enkripsi data saat diam. Jika instans Anda menjalankan versi sebelumnya, lihat Kesalahan umum selama persiapan upgrade atau bergabunglah dengan grup DingTalk Hologres untuk memberikan masukan. Untuk informasi lebih lanjut, lihat Bagaimana cara mendapatkan dukungan online lebih lanjut?.

• Jika Anda mengaktifkan enkripsi data saat diam pada instans versi sebelum V1.3.31, Anda harus menambahkan konfigurasi backend. Mulai dari Hologres V1.3.31, konfigurasi backend tidak lagi diperlukan. Kami menyarankan Anda melakukan upgrade instans untuk menggunakan fitur ini. Untuk informasi lebih lanjut, lihat Upgrade instans.

• Operasi yang Anda lakukan pada Bring-Your-Own-Keys (BYOKs) di KMS—seperti menonaktifkan atau menghapus kunci—akan memengaruhi enkripsi dan dekripsi data di Hologres. Karena layanan Hologres menggunakan cache, perubahan yang dilakukan di KMS akan berlaku dalam waktu 24 jam.

• Enkripsi saat diam hanya berlaku untuk tabel yang dibuat setelah Anda mengaktifkan fitur ini. Tabel yang dibuat sebelum fitur diaktifkan tidak dienkripsi.

• Setelah Anda mengaktifkan enkripsi saat diam, Anda tetap dapat membuat tabel eksternal Hologres di MaxCompute untuk membaca dan menulis data.

• Setelah mengaktifkan enkripsi saat diam, Anda dapat menggunakan pernyataan SQL berikut untuk menonaktifkannya pada database. Data di tabel yang dibuat sebelum Anda menonaktifkan fitur ini tetap dienkripsi. Hanya tabel baru yang dibuat setelah fitur dinonaktifkan yang tidak dienkripsi.

  ALTER DATABASE <database_name> set hg_experimental_encryption_options='';

• Jika kunci KMS yang digunakan oleh tabel terenkripsi dinonaktifkan atau menjadi tidak valid, Anda tidak dapat membaca dari atau menulis ke tabel tersebut.

• Mulai dari Hologres V2.0, Anda dapat mengonfigurasi aturan enkripsi terpisah untuk setiap tabel, sehingga tabel yang berbeda dapat menggunakan kunci KMS yang berbeda.

• Anda hanya dapat mengaktifkan enkripsi data saat diam untuk tabel berorientasi kolom dan bagian penyimpanan kolom dari tabel hibrida baris-kolom. Jenis tabel lain tidak didukung. Setelah mengaktifkan fitur ini, Anda tetap dapat membuat tabel eksternal Hologres di MaxCompute untuk membaca dan menulis data. Hanya tabel berorientasi kolom dan bagian penyimpanan kolom dari tabel hibrida baris-kolom yang dienkripsi.

Mekanisme enkripsi data

Prosedur

1. Buat kebijakan kustom.

   1. Masuk ke Konsol Resource Access Management (RAM). Di panel navigasi sebelah kiri, pilih Permissions > Policies. Pada halaman Policies, klik Create Policy.

      

   2. Pada halaman Create Policy, klik JSON. Pada tab JSON, masukkan skrip berikut di editor kode dan atur Name menjadi AliyunHologresEncryptionDefaultRolePolicy.

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:GenerateDataKey",
                      "kms:DescribeKey"
                  ],
                  "Resource": "acs:kms:*:*:*/*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Klik OK. Kebijakan kustom telah dibuat.

2. Buat Peran RAM dan berikan izin kepada Peran RAM tersebut.

   1. Masuk ke Konsol RAM. Di panel navigasi kiri, pilih Identities > Roles.

   2. Pada halaman Roles, klik Create Role. Pada halaman Create Role, atur Principal Type menjadi Cloud Service, dan Principal Name menjadi Hologres.

   3. Klik OK. Di dialog yang muncul, masukkan AliyunHologresEncryptionDefaultRole di kolom Role Name, lalu klik OK.

   4. Pada halaman detail peran, klik Grant Permission.

   5. Pada panel Grant Permission, atur Resource Scope menjadi Account. Untuk Policy, pilih kebijakan kustom AliyunHologresEncryptionDefaultRolePolicy yang dibuat pada langkah 1.

   6. Klik Grant permissions.

      Pada halaman detail peran, klik tab Trust Policy untuk memeriksa pengaturan kebijakan kepercayaan.

3. Buat kunci

   Untuk informasi lebih lanjut, lihat Panduan Cepat Key Management.

   Penting

   Hologres hanya mendukung kunci simetris tipe Aliyun_AES_256.

4. Atur aturan enkripsi

   1. Masuk ke instansiasi basis data tempat Anda ingin mengenkripsi data saat diam. Untuk informasi lebih lanjut tentang cara masuk ke database, lihat Masuk ke database.

   2. Pada halaman Ad-hoc Query, pilih Instance Name dan Database. Di editor SQL, masukkan pernyataan berikut lalu klik Run.

      Pernyataan SQL berikut mengatur aturan enkripsi data.

      ALTER DATABASE <db_name> SET hg_experimental_encryption_options='<encryption_type>,<cmk_id>,<ram_role>,<uid>';

      Deskripsi parameter

      Parameter	Deskripsi
      db_name	Nama database tempat Anda ingin mengaktifkan enkripsi saat diam.
      encryption_type	Algoritma enkripsi. Nilai yang valid: AES256, AESCTR, dan RC4.
      cmk_id	ID kunci. Masuk ke Konsol Key Management Service dan dapatkan ID tersebut dari halaman detail kunci.
      ram_role	Nama peran proxy Hologres yang telah Anda buat.
      uid	ID Akun Alibaba Cloud Anda. Untuk informasi lebih lanjut, lihat Lihat ID akun.

   Contoh berikut menunjukkan cara mengatur aturan enkripsi dan melakukan kueri data.

   1. Aktifkan enkripsi saat diam untuk database.

      ALTER DATABASE hoxxxx set hg_experimental_encryption_options=
      'AES256,623c26ee-xxxx-xxxx-xxxx-91d323cc4855,AliyunHologresEncryptionDefaultRole,187xxxxxxxxxxxxx';

   2. Buat tabel dan tulis data ke dalamnya.

      DROP TABLE IF EXISTS a;
      
      CREATE TABLE a(id int);
      
      INSERT INTO a values(1);
      
      SELECT hg_admin_command('flush'); -- Hanya untuk pengujian. Ini memungkinkan Anda melihat hasil kueri segera.

   3. Lakukan kueri terhadap data.

      SELECT * FROM a;

      Hasil berikut dikembalikan.

   Jika Anda menonaktifkan kunci KMS, terjadi error saat Anda melakukan kueri terhadap tabel a setelah instans dimulai ulang atau setelah 24 jam.

Pengaturan enkripsi tingkat tabel

Mulai dari Hologres V2.0, setelah Anda mengaktifkan enkripsi saat diam untuk suatu database, Anda dapat mengonfigurasi kebijakan enkripsi yang berbeda untuk masing-masing tabel. Hal ini memungkinkan beberapa tabel tetap tidak dienkripsi atau memungkinkan tabel yang berbeda dienkripsi dengan kunci KMS yang terpisah.

SELECT
    *
FROM
    hologres.hg_table_properties
WHERE
    property_key = 'encryption_options';