Database Autonomy Service:Melhores práticas para gerenciamento automatizado de regras de criptografia de colunas

Casos de uso

As práticas de segurança e conformidade de bancos de dados geralmente exigem as seguintes capacidades:

• Criptografia em massa: Configure regras de criptografia de colunas para dados sensíveis, como números de telefone, documentos de identidade e endereços de e-mail, em várias instâncias, bancos de dados e tabelas.

• Consulta e auditoria: Consulte colunas criptografadas, status de ativação de instâncias, uso de cotas, usuários autorizados e grupos de permissões.

• Gerenciamento de políticas: Exclua ou atualize políticas de criptografia, modifique permissões de autorização em lote, altere algoritmos de criptografia e sincronize políticas manualmente.

• Conformidade de segurança: Substitua operações manuais no console por fluxos de trabalho baseados em scripts que permitam auditoria, rastreamento e visualização prévia.

Arquitetura da cadeia de ferramentas

A cadeia de ferramentas inclui quatro scripts Python que chamam a OpenAPI do DAS pelo mecanismo CommonRequest do Alibaba Cloud Python SDK V1. Todos os scripts compartilham a mesma lógica de carregamento de credenciais e aceitam a flag --dry-run para execução em modo de simulação.

Arquivos de configuração

A cadeia de ferramentas usa quatro tipos de arquivos de configuração. Cada tipo fornece um arquivo real e um modelo .example. Cada categoria tem uma finalidade distinta:

Etapa 1: Baixar e extrair a cadeia de ferramentas

Baixe o arquivo da cadeia de ferramentas dbse-skills.tgz e extraia-o localmente:

tar xzf dbsec-skills.tgz
cd dbsec-skills/skills/column-encryption-rule/scripts

Etapa 2: Instalar dependências do Python

Crie um ambiente virtual e instale as dependências:

python3 -m venv .venv
.venv/bin/python -m pip install -r requirements.txt

Conteúdo do arquivo de dependências (requirements.txt):

aliyun-python-sdk-core>=2.16.0
PyMySQL>=1.1.0

Use o venv do projeto para todos os comandos subsequentes: .venv/bin/python.

Etapa 3: Configurar credenciais da API cloud

Copie o modelo e insira seu par de AccessKey:

cp .aliyun.env.example .aliyun.env

Exemplo de conteúdo do arquivo .aliyun.env:

ALIBABA_CLOUD_ACCESS_KEY_ID=your_access_key_id
ALIBABA_CLOUD_ACCESS_KEY_SECRET=your_access_key_secret
# Required only for STS temporary credentials. Delete or leave empty for standard AccessKey pairs.
ALIBABA_CLOUD_SECURITY_TOKEN=your_sts_token

Etapa 4: Preparar o modelo de política de criptografia

Copie o modelo de regra:

cp rule.example.json rule.json

Mantenha o arquivo rule.json como modelo de política compartilhada e mova todas as informações específicas da instância para o arquivo columns.csv:

{
  "ProductId": 5,
  "EncAlgorithm": "AES_128_GCM",
  "EncryptionKeyMode": "client_key",
  "CooperationChannel": "DAS",
  "BackendRegionId": "cn-zhangjiakou",
  "UserList": [
    {
      "AccountId": "shared_user",
      "AuthRole": "fullAccess",
      "EngineType": "MySQL"
    },
    {
      "AccountId": "only_for_instanceB",
      "InstanceId": "rm-instanceB",
      "AuthRole": "restrictedAccess",
      "EngineType": "MySQL"
    }
  ],
  "ResourceGroupId": ""
}

Campos principais:

Valores de AuthRole:

Etapa 5: Preparar a lista de colunas

Prepare a lista de colunas de uma das seguintes maneiras:

Método 1: Criar columns.csv manualmente

Copie o modelo:

cp columns.example.csv columns.csv

Insira os dados com uma coluna por linha. Exemplo:

RegionId,InstanceId,DbName,TableName,Column,EngineType,ProductId
cn-hangzhou,rm-instanceA,your_database,your_table,email,MySQL,
cn-hangzhou,rm-instanceA,your_database,your_table,phone,MySQL,
cn-beijing,rm-instanceB,another_db,users,id_card,MySQL,

Para especificar várias colunas na mesma tabela, use o campo Columns com valores separados por vírgula entre aspas:

RegionId,InstanceId,DbName,TableName,Columns,EngineType
cn-hangzhou,rm-instanceA,your_database,your_table,"email,phone",MySQL

A coluna ProductId é opcional. Especifique-a para cenários entre produtos. Se deixada em branco, o valor de nível superior do arquivo rule.json será usado.

Método 2: Exportar automaticamente com fetch_schema.py

Copie o modelo e insira as informações de conexão do seu banco de dados:

cp mysql.example.conf mysql.conf

Exemplo de conteúdo do arquivo mysql.conf (formato chave:valor):

url:rm-xxxxxxxxxxxxxxxxx.rwlb.rds.aliyuncs.com
user:your_user
pass:your_password

Visualize o schema do banco de dados (formato texto):

.venv/bin/python fetch_schema.py --config mysql.conf --database your_database

Exporte um arquivo columns.csv compatível:

.venv/bin/python fetch_schema.py --config mysql.conf --database your_database \
  --format csv --region-id cn-beijing --instance-id rm-xxxxxxxxxxxxxxxxx > columns.csv

Lista completa de parâmetros para fetch_schema.py:

--config          Database configuration file. Default: mysql.conf
--database        Query only the specified database. Repeatable. Omit to enumerate all business databases.
--include-system  Include system databases (information_schema, etc.)
--format          json | text | csv. Default: text
--region-id       Required for CSV: instance region, e.g. cn-beijing
--instance-id     Required for CSV: instance ID, e.g. rm-xxxx
--engine-type     EngineType for CSV. Default: MySQL

Etapa 6: Executar uma simulação (dry run)

Sempre execute uma simulação antes de enviar alterações para verificar o corpo da requisição e a divisão em lotes.

Simulação para uma criação única (sem CSV):

.venv/bin/python create_data_masking_rule.py \
  --env-file .aliyun.env --config rule.json --dry-run

Simulação para criação em lote (com CSV):

.venv/bin/python create_data_masking_rule.py \
  --env-file .aliyun.env --config rule.json --columns-csv columns.csv --dry-run

Exemplo de saída da simulação:

BatchCount: number of batches
TotalSubRuleCount: aggregated table rule count
TotalUniqueColumnCount: unique column count
Batches: InstanceId, ServiceRegionId, SubRuleCount, UniqueColumnCount per batch

Opcional: verificação prévia de cota local. Por exemplo, se a cota restante for de 50 colunas:

.venv/bin/python create_data_masking_rule.py \
  --env-file .aliyun.env --config rule.json --columns-csv columns.csv \
  --max-new-columns 50 --dry-run

Se a contagem de colunas exceder o limite definido por --max-new-columns, o script será interrompido localmente sem enviar requisições.

Etapa 7: Criar regras de criptografia de colunas

Após o sucesso da simulação, remova a flag --dry-run para executar a operação.

Criação única:

.venv/bin/python create_data_masking_rule.py \
  --env-file .aliyun.env --config rule.json

Criação em lote:

.venv/bin/python create_data_masking_rule.py \
  --env-file .aliyun.env --config rule.json --columns-csv columns.csv

Opcional: ajuste o número de SubRules por lote (máximo de 100):

.venv/bin/python create_data_masking_rule.py \
  --env-file .aliyun.env --config rule.json --columns-csv columns.csv --batch-size 50

Etapa 8: Consultar e verificar

Use o script describe_data_masking.py para consultar o status da criptografia de colunas. Use --action para selecionar uma operação de API somente leitura. Todas as operações aceitam --dry-run.

Exemplos:

# List authorized users
.venv/bin/python describe_data_masking.py --env-file .aliyun.env \
  --action DescribeDataMaskingUsers

# Query supported encryption algorithms for an instance
.venv/bin/python describe_data_masking.py --env-file .aliyun.env \
  --action DescribeDataMaskingAlgorithms \
  --product-id 5 --service-region-id cn-beijing --instance-id rm-xxxxxxxxxxxxxxxxx

# Query encrypted columns with pagination
.venv/bin/python describe_data_masking.py --env-file .aliyun.env \
  --action ListDataMaskingColumns \
  --product-ids 5 --db-name your_database --page-size 20 --current-page 1

# Get encrypted column quota statistics
.venv/bin/python describe_data_masking.py --env-file .aliyun.env \
  --action GetDataMaskingColumnCount --product-ids 5

Parâmetros de filtro e paginação para operações List: --masking-status, --template-id, --risk-level-id, --model-tag-id, --instance-id, --db-name, --table-name, --column-name, --current-page, --page-size, --product-id, --product-ids, --risk-level-ids, --template-rule-ids, --engine-type.

Etapa 9: Operações de gerenciamento

Use o script manage_data_masking.py com --action para selecionar uma operação de API de escrita. Todas as operações aceitam --dry-run para visualizar previamente o corpo da requisição. Os parâmetros de lista são fornecidos por meio de um arquivo JSON especificado por --config. Parâmetros escalares podem ser definidos no arquivo de configuração ou substituídos por opções da CLI (a CLI tem precedência).

Exemplos (execute primeiro com --dry-run para visualizar e, em seguida, remova --dry-run para executar):

# Delete a policy: provide SubRuleList in config. ProductId is an integer.
.venv/bin/python manage_data_masking.py --env-file .aliyun.env \
  --action DeleteDataMaskingRule --config delete_rule.json --rule-name rule-demo --dry-run

# Batch-modify authorization permission groups
.venv/bin/python manage_data_masking.py --env-file .aliyun.env \
  --action BatchModifyDataMaskingUsers --config batch_users.json \
  --auth-role fullAccess --dry-run

# Change the encryption algorithm for an instance
.venv/bin/python manage_data_masking.py --env-file .aliyun.env \
  --action ModifyDataMaskingEncryptionAlgorithm \
  --instance-id rm-xxx --product-id 5 --service-region-id cn-beijing \
  --encryption-algorithm AES_256_GCM --dry-run

# Manually synchronize all encryption policies (no business parameters)
.venv/bin/python manage_data_masking.py --env-file .aliyun.env \
  --action ManualSyncMaskingRules --dry-run

1. Prepare credentials    cp .aliyun.env.example .aliyun.env     # Enter AK/SK for DAS OpenAPI
2. Prepare rule template  cp rule.example.json rule.json         # Configure the shared encryption policy
3. Prepare column list    Write columns.csv manually, or use fetch_schema.py to export
4. Dry run                Add --dry-run to verify the request body and batches
5. Execute                Remove --dry-run to execute
6. Verify results         Use describe_data_masking.py to query and verify

Domain:             das.cn-shanghai.aliyuncs.com
Version:             2020-01-16
Action:              CreateDataMaskingRule
Method:             POST / HTTPS
RegionId:            cn-shanghai (POP access region. Do not modify.)
CooperationChannel:  DAS
BackendRegionId:     cn-zhangjiakou