PolarDB:列の暗号化

アクセスの制御

列の暗号化機能を使用するには、データベースアカウントに ENCRYPTION_FUN_ADMIN 権限が必要です。特権アカウント はこの権限を付与できます。

-- 権限を付与
GRANT ENCRYPTION_FUN_ADMIN ON *.* TO 'testman'@'%';
-- 権限を表示
SHOW GRANTS;

DDL

暗号化された列の作成

ENCRYPTION キーワードを使用して、暗号化された列を指定します。

1. PAN 列を暗号化された列として指定します。

   USE mydatabase;
   CREATE TABLE IF NOT EXISTS `my_pan` (
       `id` INT NOT NULL AUTO_INCREMENT,
       `pan` VARBINARY(128) NOT NULL ENCRYPTION,
       `desc` blob Default NULL,
       KEY `idx_pan` (`pan`),
       PRIMARY KEY (`id`)
   );

   説明

   NULL のデフォルト値を持つ暗号化された列を作成できます。ただし、NULL 値は暗号化されません。

2. `MODIFY` 文を使用して、標準の列を暗号化された列に変換したり、その逆を行ったりします。

   ALTER TABLE my_pan modify `pan` VARBINARY(128) ENCRYPTION;
   ALTER TABLE my_pan modify `pan` VARBINARY(128) NOT ENCRYPTION;

   説明

   暗号化された列を直接追加することはできません。`MODIFY` 文を使用して標準の列を変更する必要があります。

インデックスの構築

暗号化された列にインデックスを構築することもできます。構文は標準の列と同じです。例：

CREATE index idx_pan ON my_pan(pan);

DML

次のセクションでは、2 つの暗号化および復号関数について説明します。

-- 暗号化関数
enhanced_aes_encrypt(data, db_name, table_name)

-- 復号関数
enhanced_aes_decrypt(data)

データの挿入

暗号化された列に挿入されたデータは自動的に暗号化されます。`enhanced_aes_encrypt` 関数を使用する必要はありません。

INSERT INTO `my_pan` VALUES(1,"my_passwd", "aaa");

データのクエリ

# 1. インデックスなしのポイントクエリ (範囲クエリ)
SELECT id,enhanced_aes_decrypt(pan) FROM `my_pan` WHERE enhanced_aes_decrypt(pan) = 'my_password_10';

# 2. インデックスを使用したポイントクエリ。取得されたデータはプレーンテキストです。
SELECT id,enhanced_aes_decrypt(pan) FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_10', "mydatabase", "my_pan");

# 3. インデックスを使用したポイントクエリ。取得されたデータは暗号文です。
SELECT id, pan FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_10', "mydatabase", "my_pan");

データの更新

# 主キーインデックスを使用してデータを更新します。
UPDATE `my_pan` SET pan='new6-password', DESC='Senior6' WHERE id = 1;

# 暗号化された列のインデックスを使用してデータを更新します。
UPDATE `my_pan` SET pan='new6-password', DESC='Senior6' WHERE pan=enhanced_aes_encrypt('my_password_6', "mydatabase", "my_pan");

データの削除

# 主キーインデックスを使用してデータを削除します。
DELETE FROM `my_pan` WHERE id = 1;

# 暗号化された列のインデックスを使用してデータを削除します。
DELETE FROM `my_pan` WHERE pan = enhanced_aes_encrypt('my_password_2', "mydatabase", "my_pan");