O recurso always-confidential do ApsaraDB RDS for MySQL oferece uma solução de criptografia que impede o acesso não autorizado aos seus dados e garante a conformidade com as regulamentações de proteção de dados. Esta página descreve os principais benefícios para ajudar você a avaliar se o recurso atende aos seus requisitos de proteção de dados e conformidade.
Nenhuma alteração de código necessária
Ative o recurso em uma instância existente do ApsaraDB RDS com poucos comandos, sem alterar o código da aplicação ou implementar lógica de criptografia e descriptografia no lado do cliente.
Todas as instruções SQL funcionam sem modificações. Por exemplo, execute uma instrução SQL em texto simples para fazer uma correspondência aproximada em uma coluna criptografada.
Ferramentas como Data Transmission Service (DTS) e Data Management (DMS) são compatíveis com o recurso e permitem migrar cargas de trabalho sem alterar o código.
Ative ou desative o recurso em uma instância existente a qualquer momento. O rollback é suportado.
Resultados em texto cifrado garantidos por regras de proteção de dados
Após configure uma regra de proteção de dados, a instância identifica automaticamente os dados protegidos durante as consultas e retorna resultados processados pelo método de proteção especificado.
Terceiros não conseguem visualizar dados protegidos em texto simples nos resultados das consultas, mesmo que as credenciais da conta sejam comprometidas.
O recurso também determina se deve proteger os resultados de cálculos que envolvam dados protegidos, incluindo operações de adição, subtração, agregação e JOIN, com base na regra configurada.
Granularidade de criptografia no nível de tabela e coluna
Especifique a proteção no nível de tabela ou coluna em uma regra de proteção de dados. Quando uma coluna é designada como protegida e a criptografia é o método escolhido, o recurso utiliza sua chave para criptografar automaticamente todos os dados dessa coluna. Somente usuários com a chave podem descriptografar e visualizar o texto simples.
Sobrecarga mínima de desempenho
Instâncias do ApsaraDB RDS com o recurso ativado apresentam desempenho comparável ao de instâncias sem ele. O desempenho das consultas diminui proporcionalmente ao volume de dados criptografados: quanto maior a quantidade de dados criptografados, mais perceptível será o impacto.
Gerenciamento flexível de chaves
Traga chaves de um serviço de gerenciamento de chaves confiável ou de terceiros e passe-as dinamicamente para o EncJDBC (o driver JDBC do MySQL para o recurso always-confidential) usando configurações de parâmetros ou outros métodos. Para obter detalhes, consulte Usar o recurso always-confidential a partir do EncJDBC.
As chaves ficam disponíveis apenas para os proprietários dos dados e entram em vigor por meio de um mecanismo de distribuição seguro. Cada chave é revogada automaticamente após o uso, evitando roubos.
Há suporte para atualização e rotação de chaves.
As chaves são destruídas automaticamente quando o recurso always-confidential é desativado em uma instância.
Múltiplas opções de conexão de cliente
Conecte-se usando drivers de cliente ou SDKs em Java, Go e Python.
Os drivers de cliente lidam com a descriptografia automaticamente, sem exigir alterações na configuração da aplicação.
O SDK permite chamar operações de API para processar dados em texto cifrado programaticamente.
Limitações
A criptografia é o único método de proteção de dados suportado em uma regra de proteção de dados.
O cliente suporta a descriptografia de texto cifrado nos resultados das consultas, mas não oferece suporte à criptografia dentro de instruções SQL.