PolarDB：Enkripsi kolom

1. Sintaksis (kontrol akses, DDL, dan DML)

-- Memberikan izin
GRANT ENCRYPTION_FUN_ADMIN ON *.* TO 'testman'@'%';
-- Melihat izin
SHOW GRANTS;

CREATE index idx_pan ON my_pan(pan);

-- Fungsi enkripsi
enhanced_aes_encrypt(data, db_name, table_name)

-- Fungsi dekripsi
enhanced_aes_decrypt(data)

INSERT INTO `my_pan` VALUES(1,"my_passwd", "aaa");

# 1. Kueri titik tanpa indeks (kueri rentang)
SELECT id,enhanced_aes_decrypt(pan) FROM `my_pan` WHERE enhanced_aes_decrypt(pan) = 'my_password_10';

# 2. Kueri titik menggunakan indeks. Data yang diambil dalam bentuk teks biasa.
SELECT id,enhanced_aes_decrypt(pan) FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_10', "mydatabase", "my_pan");

# 3. Kueri titik menggunakan indeks. Data yang diambil dalam bentuk ciphertext.
SELECT id, pan FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_10', "mydatabase", "my_pan");

# Memperbarui data menggunakan indeks kunci primer.
UPDATE `my_pan` SET pan='new6-password', DESC='Senior6' WHERE id = 1;

# Memperbarui data menggunakan indeks kolom terenkripsi.
UPDATE `my_pan` SET pan='new6-password', DESC='Senior6' WHERE pan=enhanced_aes_encrypt('my_password_6', "mydatabase", "my_pan");

# Menghapus data menggunakan indeks kunci primer.
DELETE FROM `my_pan` WHERE id = 1;

# Menghapus data menggunakan indeks kolom terenkripsi.
DELETE FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_2', "mydatabase", "my_pan");

2. Manajemen kunci

1. Otorisasi PolarDB untuk mengakses KMS.

2. Aktifkan fitur TDE.

   Penting

   • Mengaktifkan TDE menyebabkan kluster PolarDB melakukan restart. Lakukan operasi ini dengan hati-hati.

   • Setelah TDE diaktifkan, fitur tersebut tidak dapat dinonaktifkan.

   • Mengaktifkan fitur TDE itu sendiri tidak menimbulkan beban kinerja tambahan untuk tabel non-TDE atau tabel yang tidak menggunakan enkripsi kolom.

   1. Masuk ke Konsol PolarDB. Di panel navigasi sebelah kiri, klik Clusters. Pilih wilayah kluster, lalu klik ID kluster tersebut.

   2. Di panel navigasi sebelah kiri, klik Settings and Management >  Security.

   3. Di tab TDE Settings, aktifkan TDE Status dan tentukan kunci kustom.

      Catatan

      Sebelum menghapus kunci di KMS, pastikan kunci tersebut telah diputuskan hubungannya dari semua tabel terenkripsi, termasuk versi historisnya. Jika tidak, kluster PolarDB mungkin menjadi tidak tersedia setelah restart.

      

3. Pilih kunci.

   Catatan

   Anda dapat memilih Use an existing custom key atau Select a key in the pop-up window. Kunci dapat dihasilkan oleh layanan KMS.

   

4. (Opsional) Rotasi Kunci.

   Catatan

   • PolarDB tidak secara otomatis memperbarui versi kunci utama untuk kunci kustom. Anda dapat memperbarui versi kunci secara manual. Untuk informasi selengkapnya, lihat rotasi kunci.

   • Setelah rotasi kunci, tabel terenkripsi baru menggunakan kunci baru untuk enkripsi. Data dalam tabel terenkripsi yang sudah ada tetap dienkripsi dengan kunci asli.

   • Rotasi data mendekripsi data dalam tabel lalu mengenkripsinya kembali dengan versi kunci terbaru. Perhatikan bahwa operasi ini mengonsumsi sumber daya CPU dan I/O. Rotasi data tidak wajib, tetapi Anda harus memastikan bahwa semua kunci yang digunakan oleh tabel data tetap tersedia.

   • Penguncian tabel selama rotasi data

     • Jika fitur Online Copy tidak diaktifkan, tabel akan dikunci selama rotasi data.

     • Jika fitur Online Copy DDL diaktifkan, tabel tidak dikunci selama rotasi data. Operasi DML konkuren diperbolehkan, tetapi operasi DDL konkuren tidak diperbolehkan.

   Untuk mengenkripsi ulang tabel yang sudah ada dengan kunci baru, jalankan perintah rotasi data berikut:

   ALTER TABLE <table_name> engine = innodb,algorithm=copy;

5. Query Kunci Tabel.

   Anda dapat menjalankan pernyataan SQL berikut untuk memeriksa penggunaan kunci pada semua tabel terenkripsi dalam sistem.

   SELECT * FROM information_schema.INNODB_COLUMN_ENCRYPTED_TABLE;

3. Pengaturan parameter

Anda dapat mengaktifkan fitur enkripsi kolom dengan mengatur parameter loose_polar_enable_column_encryption. Untuk informasi selengkapnya, lihat Set cluster and node parameters. Tabel berikut menjelaskan parameter ini.

4. (Opsional) Aktifkan fitur Online Copy

Saat Anda menggunakan sintaks DDL `COPY` untuk rotasi data—seperti memodifikasi definisi tabel lintas mesin, menyesuaikan properti kolom, atau mengonversi antara tabel standar dan tabel partisi—tabel dikunci secara default, yang dapat memblokir layanan Anda. Untuk mengatasi hal ini, Anda dapat mengaktifkan fitur optimasi Online Copy, yang memungkinkan perubahan skema tabel tanpa penguncian atau dengan penguncian minimal. Tabel berikut menjelaskan parameter terkait.