O recurso de criptografia de colunas, fornecido pelo Data Security Center (DSC), permite criptografar dados confidenciais nas colunas da sua instância do ApsaraDB RDS for PostgreSQL. Isso impede que pessoas não autorizadas acessem dados em texto simples por meio de softwares da plataforma cloud ou ferramentas de conexão de banco de dados. O recurso garante que os dados estejam sempre disponíveis para aplicativos autorizados, mas permaneçam ilegíveis no próprio banco de dados, protegendo contra ameaças internas e externas. Isso transforma seus dados na cloud em um ativo verdadeiramente privado.
Pré-requisitos
A instância deve ter a versão principal do mecanismo ApsaraDB RDS for PostgreSQL 16 e uma versão secundária do mecanismo 20250228 ou posterior.
-
A instância está em uma das seguintes regiões:
-
A China continental
China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot), China (Hangzhou), China (Shanghai), China (Shenzhen), China (Guangzhou), China (Chengdu).
-
Fora da China continental
China (Hong Kong), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Germany (Frankfurt).
-
Visão geral
O recurso de criptografia de colunas para o ApsaraDB RDS for PostgreSQL utiliza o algoritmo AES-256-GCM e criptografia de chave local. Configure a criptografia para colunas confidenciais a fim de garantir que os dados sejam armazenados como texto cifrado. Usuários autorizados podem acessar os dados em texto simples utilizando um cliente, como o driver de criptografia de colunas (JDBC), para descriptografia. Selecione e modifique o escopo da criptografia, incluindo a instância do ApsaraDB RDS for PostgreSQL, banco de dados, tabelas e colunas, a qualquer momento.
Preparações
Antes de ativar a criptografia de colunas, conclua as seguintes etapas em ordem: ative ou faça upgrade do DSC, autorize o DSC a acessar recursos da cloud, autorize os ativos de banco de dados e conecte-se ao banco de dados para executar uma tarefa de identificação de dados confidenciais.
1. Ativar ou fazer upgrade do DSC
2. Autorizar o acesso a recursos da cloud
3. Autorizar ativos de banco de dados
4. Conectar e identificar dados confidenciais
Faça login no console do Data Security Center. No painel de navegação à esquerda, escolha Asset Center.
Na guia Authorization Management, clique em Account Logon na coluna Actions da instância de ativo de destino.
No painel Account Logon, clique em Add Credential na coluna Actions do banco de dados de destino.
-
Na caixa de diálogo Add Credential, selecione uma credencial. Mantenha a opção Scan assets and identify sensitive data now. selecionada ou desmarque-a e, em seguida, clique em OK.
Se você não criou uma credencial, clique na guia Create Credential na caixa de diálogo Add Credential. Configure o Credential Name, Username, Password e Credential Type para a conta de login do banco de dados e clique em OK.
ImportanteSe você selecionar Scan assets and identify sensitive data now., o DSC cria e executa automaticamente uma tarefa de identificação padrão. A tarefa de identificação lê dados do banco de dados e consome desempenho de leitura. Recomendamos executar esta operação fora dos horários de pico.
Se você desmarcar Scan assets and identify sensitive data now., execute a tarefa padrão manualmente. No painel de navegação à esquerda, escolha . Na guia Identification Tasks, encontre a tarefa na lista Default Tasks e clique em Rescan.
-
Clique no ícone
à esquerda da instância do banco de dados para visualizar seu status de conexão e de recurso.O status de conexão do banco de dados é exibido como Connected.
Ativar a criptografia de colunas
-
Faça login no console do Data Security Center. No painel de navegação à esquerda, escolha .
ImportanteA coluna Encryption Check deve mostrar Passed antes que você possa configurar a criptografia de colunas para o banco de dados. Se mostrar Failed, a versão principal ou secundária do mecanismo do banco de dados pode não ser compatível com a criptografia de colunas. Para mais informações, consulte FAQ neste tópico.
-
Clique em Rapid Encryption acima da lista de instâncias de banco de dados para configurar a criptografia de colunas para todas as colunas não criptografadas.
Alternativamente, clique em Rapid Encryption na coluna Actions de uma instância de banco de dados específica para configurar a criptografia de colunas apenas para essa instância.
-
No painel Encryption Configuration, selecione o Asset Type, Instance name e Plaintext Permission Accounts. Em seguida, selecione os Databases, Table e Column de destino para criptografar e clique em OK. Observe o seguinte:
O ApsaraDB RDS for PostgreSQL oferece suporte apenas ao algoritmo de criptografia AES-256-GCM e ao método de criptografia local.
Após configurar a criptografia, as contas do banco de dados assumem por padrão a Ciphertext Permission (JDBC Decryption). Por padrão, essas contas acessam o texto cifrado das colunas criptografadas. Utilize código no lado do cliente com uma chave local para descriptografar os dados e visualizar o texto simples original.
-
Se precisar acessar diretamente os dados em texto simples, adicione a conta de banco de dados correspondente à lista Plaintext Permission Accounts. Isso concede à conta a Permissão de Texto Simples, permitindo que ela acesse diretamente os dados em texto simples das colunas criptografadas.
ImportanteSe precisar realizar a classificação e gradação de dados confidenciais nos dados mais recentes do banco de dados, a conta do banco de dados usada como credencial (a conta usada para conectar o DSC à instância do ApsaraDB RDS for PostgreSQL) deve ter a Permissão de Texto Simples.
Modificar a criptografia de colunas
Escopo da criptografia
Após ativar a criptografia de colunas, modifique o escopo das colunas criptografadas ativando ou desativando o recurso individualmente para colunas específicas dentro da instância do banco de dados, de acordo com suas necessidades.
Faça login no console do Data Security Center. No painel de navegação à esquerda, escolha .
Na lista de instâncias, expanda a instância de destino. Na lista de bancos de dados, encontre o nome dos Databases, Table e Column de destino e clique em Enable Encryption ou Disable Encryption para configurar a criptografia dessa coluna.
Permissões de conta
Exceto para as contas que receberam Plaintext Permissions, todas as outras contas na instância do banco de dados possuem Ciphertext Permission (JDBC Decryption). Altere a permissão de uma conta para Plaintext Permissions ou Ciphertext Permission (JDBC Decryption) com base nas suas necessidades de negócios.
Faça login no console do Data Security Center.
-
Na página , clique em Permission Settings na área Accounts.
Alternativamente, na coluna Actions da lista de instâncias, clique em Edit. No painel Edit, clique em Configure para Account Permissions.
-
No painel Permission Settings, pesquise a instância e a conta de destino para visualizar as permissões atuais.
NotaSe uma conta de banco de dados recém-adicionada não estiver listada, execute primeiro a Asset synchronization e verifique novamente.
-
Na coluna Actions da conta de destino, clique em Modify Permissions.
Selecione várias contas de destino com a mesma permissão e clique em Batch Modify Permissions abaixo da lista.
Na caixa de diálogo Modify Permissions, selecione a permissão de destino e clique em OK.
Verificar a criptografia de colunas
Configure a criptografia de colunas do banco de dados e as permissões da conta do banco de dados para verificar o resultado da criptografia.
Conecte uma instância do ApsaraDB RDS for PostgreSQL 16 ao DSC e conclua a classificação e gradação de dados confidenciais. Ative a criptografia de colunas para uma coluna específica na instância do RDS, como a coluna birth_date na tabela students01****. Em seguida, defina a permissão de uma conta do banco de dados para Plaintext Permissions e deixe outra conta com Ciphertext Permission (JDBC Decryption). Na página de status de criptografia de colunas da tabela de dados, a coluna birth_date da tabela public.students01 no banco de dados testdb01 tem a criptografia ativada (nível de sensibilidade S2, rotulada como informação pessoal, com o algoritmo de criptografia AES_256_GCM), enquanto as outras colunas (name, sid, id, extra_info, gender) não estão criptografadas.
Utilize uma conta com Ciphertext Permission (JDBC Decryption) para fazer login no banco de dados usando o Data Management Service (DMS). Execute a instrução
SELECT * FROM students01;para visualizar a tabela de dados. Quando consultada com uma conta que possui Ciphertext Permission (JDBC Decryption), a colunabirth_dateretorna uma string de texto cifrado criptografado em vez de uma data em texto simples.Utilize uma conta com Clear text permission para fazer login no banco de dados usando o Data Management Service (DMS). Execute a instrução
SELECT * FROM students01;para visualizar a tabela de dados. A coluna criptografada retorna dados em texto simples.
Uso do cliente
Se a conta do seu banco de dados tiver Ciphertext Permission (JDBC Decryption), utilize o driver de criptografia de colunas (JDBC) para se conectar ao banco de dados RDS de destino. Isso permite que seu aplicativo Java acesse dados de colunas criptografadas. O driver JDBC descriptografa automaticamente o texto cifrado e retorna dados em texto simples, tornando o processo transparente para o aplicativo. Para mais informações, consulte column encryption driver (JDBC).
FAQ
Verificação de criptografia falhou
Conteúdo relacionado
Para informações sobre os recursos e princípios de funcionamento da criptografia de colunas do banco de dados, consulte Column encryption overview.
Se os dados de colunas confidenciais em um banco de dados forem alterados após a autorização, será necessário fazer uma nova verificação. Para mais informações, consulte Scan for sensitive data by using a discovery job.