All Products
Search

This Product

    ApsaraDB RDS:Enkripsi kolom

    Document Center

    ApsaraDB RDS:Enkripsi kolom

    Last Updated:Aug 21, 2026

    Enkripsi kolom, yang disediakan oleh Data Security Center (DSC), melindungi data sensitif pada kolom di ApsaraDB RDS untuk PostgreSQL dengan menyimpannya dalam bentuk terenkripsi di tingkat database. Pemilik data dapat membaca datanya dalam bentuk teks biasa melalui klien yang selalu rahasia, sedangkan administrator basis data dan operator platform cloud—bahkan yang memiliki akses langsung ke database—hanya melihat ciphertext. Pemisahan antara pemilik data dan pengelola infrastruktur database inilah yang menjadi jaminan keamanan utama dari fitur ini.

    Prasyarat

    Sebelum memulai, pastikan Anda telah memiliki:

    • Instans ApsaraDB RDS untuk PostgreSQL 16 dengan versi mesin minor 20250228 atau lebih baru

    • Instans yang berjalan di salah satu wilayah yang didukung:

      • Tiongkok daratan: Tiongkok (Qingdao), Tiongkok (Beijing), Tiongkok (Zhangjiakou), Tiongkok (Hohhot), Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Shenzhen), Tiongkok (Guangzhou), Tiongkok (Chengdu)

      • Di luar Tiongkok daratan: Tiongkok (Hong Kong), Singapura, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Jerman (Frankfurt)

    Cara kerja

    DSC menggunakan algoritma enkripsi AES-256-GCM dengan metode enkripsi kunci lokal. Kolom sensitif disimpan sebagai ciphertext di database. Akun database dibagi menjadi dua jenis izin:

    • Plaintext Permission — akun dapat melakukan kueri pada kolom terenkripsi dan menerima teks biasa secara langsung. Berikan izin ini kepada pemilik data yang perlu membaca data sensitif.

    • Ciphertext Permission (JDBC Decryption) — akun menerima ciphertext dan dapat mendekripsinya secara lokal melalui driver JDBC enkripsi kolom. Ini merupakan izin default untuk semua akun setelah enkripsi diaktifkan. Berikan izin ini kepada aplikasi yang mengakses database melalui kode Java.

    Penting

    Jika instans gagal dalam pemeriksaan enkripsi di DSC, enkripsi kolom tidak dapat dikonfigurasi. Penyebab umumnya adalah: versi utama database bukan PostgreSQL 16, versi mesin minor lebih awal dari 20250228, atau instans tersebut merupakan instansi hanya baca. Lihat FAQ untuk langkah penyelesaiannya.

    Menyiapkan enkripsi kolom

    Penyiapan enkripsi kolom mencakup lima langkah: mengaktifkan DSC, memberikan otorisasi DSC untuk mengakses sumber daya cloud, memberikan otorisasi instans RDS, menghubungkan ke database, dan mengaktifkan enkripsi pada kolom tertentu.

    Langkah 1: Aktifkan atau upgrade DSC

    Untuk pengguna baru yang belum pernah menggunakan Data Security Center, aktifkan layanan DSC

    Pengguna DSC baru

    1. Buka halaman pembelian Data Security Center.halaman pembelian Data Security Center

    2. Pilih edisi dan aktifkan enkripsi kolom.

      image

    3. Klik Buy Now dan selesaikan pembayaran.

    Enkripsi kolom tersedia di Free Edition, Premium Edition, Enterprise Edition, dan Value-added Service Only Edition. Free Edition, Enterprise Edition, dan Value-added Service Only Edition masing-masing mencakup kuota satu kolom terenkripsi gratis. Beli kapasitas tambahan jika Anda perlu mengenkripsi lebih banyak kolom.

    Setelah pembelian, lihat spesifikasi fitur Anda di halaman Overview Konsol DSC.

    Untuk pengguna DSC yang sudah ada, periksa edisi DSC dan kuota enkripsi kolom, serta upgrade layanan DSC jika diperlukan

    Pengguna DSC yang sudah ada

    Masuk ke Konsol Data Security Center dan periksa dua hal berikut di halaman Overview:

    • DSC edition: Enkripsi kolom tersedia untuk Free Edition, Enterprise Edition, dan Value-added Service Only Edition.

    • Kuota enkripsi kolom: Pastikan kuota sesuai dengan kebutuhan bisnis Anda.

    image

    Jika edisi Anda tidak kompatibel atau Anda memerlukan kuota yang lebih besar, upgrade layanan DSC Anda:

    • Free Edition: Beli edisi berbayar (Enterprise Edition atau Value-added Service Only Edition) sambil tetap mempertahankan sumber daya Free Edition Anda.

    • Enterprise Edition atau Value-added Service Only Edition: Ajukan pengembalian dana, lalu beli edisi lain. Instans asli dan datanya akan dirilis.

    Catatan Saat ini, hanya upgrade dari Premium Edition ke Enterprise Edition yang didukung, serta upgrade tingkat modul dalam edisi yang sama (seperti peningkatan kuota enkripsi kolom). Upgrade konfigurasi instans tidak mendukung perubahan durasi langganan.

    Untuk melakukan upgrade:

    1. Masuk ke Konsol Data Security Center.

    2. Di halaman Overview, klik Upgrade.

    3. Atur ulang spesifikasi—aktifkan fitur baru seperti enkripsi kolom, atau tingkatkan kuota perlindungan dan enkripsi.

    4. Klik Buy Now dan selesaikan pembayaran.

    Lihat spesifikasi yang telah diperbarui di halaman Overview.

    Langkah 2: Otorisasi DSC untuk mengakses sumber daya cloud

    1. Masuk ke Konsol Data Security Center.

    2. Pada kotak dialog RAM Authorization, klik Authorize Now.

    Catatan Jika kotak dialog RAM Authorization tidak muncul, berarti DSC telah diotorisasi untuk mengakses sumber daya cloud.

    Langkah 3: Otorisasi instans database RDS

    1. Masuk ke Konsol Data Security Center. Di panel navigasi kiri, pilih Asset Center.

    2. Di tab Authorization Management, klik Asset Authorization Management.

    3. Di panel navigasi kiri halaman Asset Authorization Management, pilih tipe data yang akan diotorisasi, lalu klik Asset Synchronization.

      Catatan Setelah membeli DSC, daftar aset cloud akan disinkronkan secara otomatis saat login pertama kali—tidak perlu sinkronisasi manual. DSC juga memindai aset baru yang ditambahkan setiap hari pukul 00:00. Pengguna yang sudah ada dan tidak melihat instans target harus menjalankan Asset Synchronization secara manual.

    4. Pada kolom Authorization aset target, klik Actions. Untuk mengotorisasi beberapa aset sekaligus, pilih aset tersebut lalu klik Batch Authorize.

    Langkah 4: Hubungkan ke database dan jalankan tugas identifikasi data sensitif

    1. Masuk ke Konsol Data Security Center. Pada panel navigasi kiri, pilih Asset Center.

    2. Di tab Authorization Management, klik Account Logon pada kolom Actions instans target.

    3. Di panel Account Logon, klik Add Credential pada kolom Actions database target.

    4. Pada kotak dialog Add Credential, pilih kredensial dan konfigurasikan opsi Scan assets and identify sensitive data now.: Jika Anda belum membuat kredensial, klik tab Create Credential dan konfigurasikan Credential Name, Username, Password, dan Credential Type, lalu klik OK.

      • Selected: DSC membuat dan langsung menjalankan tugas identifikasi default. Tugas ini membaca dari database dan dapat menurunkan performa baca—jalankan selama jam sepi.

      • Cleared: Jalankan tugas identifikasi secara manual nanti. Buka Classification and grading > Tasks, buka tab Identification Tasks, lalu klik Rescan pada daftar Default Tasks.

      Penting

      Akun database yang ditetapkan sebagai kredensial DSC harus memiliki Plaintext Permission. Tanpa izin ini, DSC tidak dapat mengklasifikasikan dan memberi tingkat pada data terbaru di database.

    5. Klik ikon 展开图标 di sisi kiri instans database untuk melihat status koneksi dan status fitur.

      image

    Langkah 5: Aktifkan enkripsi kolom

    1. Masuk ke Konsol Data Security Center. Di panel navigasi kiri, pilih Risk Governance > Column Encryption.

      Penting

      Kolom Encryption Check harus menampilkan Passed sebelum Anda dapat mengaktifkan dan mengonfigurasi enkripsi kolom. Jika menampilkan Failed, lihat FAQ.

    2. Klik Rapid Encryption di atas daftar instans database untuk mengonfigurasi enkripsi pada semua kolom yang belum dienkripsi di seluruh instans. Atau, klik Rapid Encryption pada kolom Actions instans database tertentu untuk membatasi cakupan hanya pada instans tersebut.

      image

    3. Di panel Encryption Configuration, pilih Asset Type, Instance name, Plaintext Permission Accounts, serta Databases, Table, dan Column target, lalu klik OK. Perhatikan hal berikut:

      • RDS PostgreSQL hanya mendukung algoritma AES-256-GCM dan metode local encryption.

      • Setelah enkripsi dikonfigurasi, semua akun database secara default memiliki Ciphertext Permission (JDBC Decryption). Akun dengan izin ini mengakses ciphertext secara default dan mendekripsinya secara lokal menggunakan klien JDBC.

      • Untuk memberikan akses teks biasa langsung kepada suatu akun, tambahkan akun tersebut di bawah Plaintext Permission Accounts.

    Ubah konfigurasi enkripsi

    Ubah cakupan kolom yang dienkripsi

    Setelah mengaktifkan enkripsi kolom, Anda dapat menyesuaikan kolom mana saja yang dienkripsi kapan pun.

    1. Masuk ke Konsol Data Security Center. Di panel navigasi kiri, pilih Risk Governance > Column Encryption.

    2. Di daftar instans, perluas instans target. Temukan Databases, Table, dan Column target, lalu klik Enable Encryption atau Disable Encryption.

      image

    Ubah izin akun

    Semua akun secara default memiliki Ciphertext Permission (JDBC Decryption) kecuali secara eksplisit diatur sebagai Plaintext Permission. Ubah izin berdasarkan peran masing-masing akun:

    • Plaintext Permission: Untuk pemilik data yang perlu membaca data sensitif langsung melalui konsol atau DMS.

    • Ciphertext Permission (JDBC Decryption): Untuk aplikasi dan administrator yang mengakses database melalui JDBC dan mendekripsi secara lokal.

    Untuk mengubah izin:

    1. Masuk ke Konsol Data Security Center.

    2. Di halaman Risk Governance > Column Encryption, klik Accounts di bagian Permission Settings. Atau, klik Edit pada kolom Actions instans, lalu klik Account Permissions di panel Configure.

    3. Di panel Permission Settings, cari instans dan akun target untuk melihat izin saat ini.

      Catatan Jika akun database yang baru ditambahkan tidak terdaftar, jalankan Asset Synchronization terlebih dahulu, lalu periksa kembali.

    4. Klik Modify Permissions pada kolom Actions akun target. Untuk memperbarui beberapa akun dengan izin yang sama sekaligus, pilih akun tersebut lalu klik Batch Modify Permissions.

    5. Di kotak dialog Modify Permissions, pilih izin target lalu klik OK.

    Verifikasi enkripsi kolom

    Contoh ini menggunakan kolom birth_date pada tabel students01. Satu akun database memiliki Plaintext Permission; yang lain memiliki Ciphertext Permission (JDBC Decryption).

    1. Hubungkan instans RDS PostgreSQL 16 ke DSC, selesaikan klasifikasi data sensitif, dan aktifkan enkripsi kolom pada kolom target. Tetapkan satu akun ke Plaintext Permission dan biarkan akun lain tetap pada Ciphertext Permission (JDBC Decryption).

      image

    2. Masuk ke Data Management Service (DMS) dengan akun yang memiliki Ciphertext Permission (JDBC Decryption). Jalankan SELECT * FROM students01;. Kolom yang dienkripsi mengembalikan ciphertext.

      image

    3. Masuk ke Data Management Service (DMS) dengan akun yang memiliki Plaintext Permission. Jalankan SELECT * FROM students01;. Kolom yang dienkripsi mengembalikan teks biasa.

      image

    Akses kolom terenkripsi dari aplikasi

    Untuk akun dengan Ciphertext Permission (JDBC Decryption), gunakan driver enkripsi kolom (JDBC) untuk mengakses data kolom terenkripsi dari aplikasi Java. Driver ini secara otomatis mendekripsi ciphertext sebelum mengembalikan hasil, sehingga prosesnya transparan bagi aplikasi.

    FAQ

    Apa yang harus saya lakukan jika instans RDS gagal dalam pemeriksaan enkripsi?

    Kolom Encryption Check menampilkan Failed ketika versi database bukan PostgreSQL 16, versi mesin minor lebih awal dari 20250228, atau instans tersebut merupakan instansi hanya baca.

    Versi database tidak didukung

    Buka daftar instans RDS, temukan instans target, lalu upgrade versi database. Untuk detailnya, lihat Upgrade the major engine version.

    Versi mesin minor tidak didukung

    image

    Klik Update Minor Engine Version, pilih Latest Version dan Update Time, lalu klik OK. Untuk detailnya, lihat Update the minor engine version. Enkripsi kolom hanya dapat diaktifkan setelah versi mesin minor diperbarui.

    image

    Instans hanya-baca

    Instansi hanya baca mereplikasi data dari instans utama dan tidak mendukung enkripsi kolom. Aktifkan enkripsi kolom pada instans utama sebagai gantinya.

    Setelah melakukan upgrade versi, sinkronkan informasi instans terbaru di DSC:

    1. Di panel navigasi kiri, pilih Asset Center. Di tab Authorization Management, klik Asset Authorization Management.

    2. Di panel navigasi kiri panel Asset Authorization Management, pilih tipe instans target.

    3. Klik Asset Synchronization.

    Langkah selanjutnya