ApsaraDB RDS:EncJDBC

仕組み

EncJDBC は 2 段階のプロセスを使用します。

1. 接続時に、EncJDBC はエンベロープ暗号化を使用して MEK をサーバーに配布し、キーがプレーンテキストで送信されないようにします。

2. クエリごとに、EncJDBC は暗号化対象列のパラメーターを自動的に暗号化し、結果を復号してからアプリケーションに返します。

アプリケーションコードは、引き続きプレーンテキスト値を扱います。クエリロジックの変更は不要です。

前提条件

開始する前に、以下をご確認ください：

• お使いの ApsaraDB RDS for MySQL インスタンスで完全暗号化データベース機能が有効になっていること。詳細については、「完全暗号化データベース機能の有効化」をご参照ください。

• インスタンスの接続情報 (ホスト名、ポート、データベース名、ユーザー名、パスワード)

• データ保護ルールが設定されていること。詳細については、「データ保護ルールの設定」をご参照ください。

• JDK 1.8 以降

このトピックの例では、Maven 3.9.2 と IntelliJ IDEA Community Edition 2022.3.2 を使用しています。

Maven 依存関係の追加

プロジェクトの pom.xml ファイルに以下の依存関係を追加します。

<dependencies>
  <dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>aliyun-encdb-mysql-jdbc</artifactId>
    <version>1.0.9-1</version>
  </dependency>
</dependencies>

設定と接続

EncJDBC は、JDBC URL 形式 jdbc:mysql:encdb://{hostname}:{port}/{dbname} とドライバークラス com.aliyun.encdb.mysql.jdbc.EncDriver を使用します。

接続する前に、2 つの必須パラメーターを設定します。

対応暗号化アルゴリズム：

AES_128_ECB と SM4_128_ECB は使用しないでください。これらのモードは強力なセキュリティを保証しません。

// プレースホルダーを実際のインスタンス接続情報に置き換えます。
String hostname = "<hostname>";
String port     = "<port>";
String dbname   = "<dbname>";
String username = "<username>";
String password = "<password>";

String mek     = "<your-mek>";   // 32 文字の 16 進数文字列
String encAlgo = "<enc-algo>";   // 例：SM4_128_GCM

Properties props = new Properties();
props.setProperty("user", username);
props.setProperty("password", password);
props.setProperty("MEK", mek);
props.setProperty("ENC_ALGO", encAlgo);

String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");
Connection connection = DriverManager.getConnection(dbUrl, props);

MEK=<your-mek>
ENC_ALGO=<enc-algo>

String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");
Connection connection = DriverManager.getConnection(dbUrl, username, password);

String dbUrl = String.format(
    "jdbc:mysql:encdb://%s:%s/%s?MEK=%s&ENC_ALGO=%s",
    hostname, port, dbname, mek, encAlgo
);
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");
Connection connection = DriverManager.getConnection(dbUrl, username, password);

コード例

以下の例では、JDBC プロパティを使用して接続し、テーブルに行を挿入して、プレーンテキストで結果を取得します。

// プレースホルダーを実際のインスタンス接続情報に置き換えます。
String hostname = "hostname";
String port     = "port";
String dbname   = "db";
String username = "user";
String password = "password";

// 本番環境では、ランダムに生成された強力な MEK を使用してください。
String mek     = "00112233445566778899aabbccddeeff";
String encAlgo = "SM4_128_CBC";

Properties props = new Properties();
props.setProperty("user", username);
props.setProperty("password", password);
props.setProperty("MEK", mek);
props.setProperty("ENC_ALGO", encAlgo);

String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");
Connection connection = DriverManager.getConnection(dbUrl, props);

int[]    intData = {1, 2, 3, 4, 5, 6};
String[] strData = {"abc", "bcd", "1", "def", "efg", "fgi"};

// テーブルを作成します。
connection.createStatement().executeUpdate("drop table if exists test");
connection.createStatement().executeUpdate("create table test (a int, b text)");

// PreparedStatement を使用して行を挿入します。
// EncJDBC は、暗号化対象列の値を自動的に暗号化します。
for (int i = 0; i < 6; i++) {
    PreparedStatement pstmt = connection.prepareStatement("insert into test values (?,?)");
    pstmt.setInt(1, intData[i]);
    pstmt.setString(2, strData[i]);
    pstmt.executeUpdate();
}

// 行をクエリします。EncJDBC は、結果を返す前に自動的に復号します。
ResultSet rs = connection.prepareStatement("select * from test").executeQuery();
while (rs.next()) {
    for (int i = 0; i < rs.getMetaData().getColumnCount(); i++) {
        System.out.print(rs.getString(i + 1));
        System.out.print("\t");
    }
    System.out.print("\n");
}

出力例：

1	abc
2	bcd
3	1
4	def
5	efg
6	fgi

以下の点にご注意ください：

• 暗号化された列に対するすべての読み取りと書き込みは、PreparedStatement を使用します。ドライバーはパラメーターを自動的に暗号化し、結果を復号します。クエリロジックの変更は必要ありません。

• 暗号化されていない列に渡された値は影響を受けません。

トラブルシューティング

--add-exports=java.base/com.sun.crypto.provider=ALL-UNNAMED