数据安全-华为云

数据治理中心 DATAARTS STUDIO-查看表权限的拥有者（表权限视图）:查看表权限的拥有者

查看表权限的拥有者在 DataArts Studio 控制台首页，选择对应工作空间的“数据安全”模块，进入数据安全页面。单击左侧导航树中的“表权限视图”，进入表权限视图页面。图1 表权限视图在表权限视图页面，您可以通过切换页签，查看表权限的不同拥有对象： “表-用户”页签：默认展示当前实例下，通过授权对象为用户的权限申请和审批流程所获取的表权限。支持筛选不同的数据源类型，并通过用户名、集群名称、数据库或表名检索。权限申请和审批流程详见申请与审批权限。图2 表-用户 “表-角色”页签：默认展示当前实例下，在角色（包含空间权限集、权限集和角色）中所授予的表权限。支持筛选不同的数据源类型，并通过角色、集群名称、数据库或表名检索。通过空间权限集、权限集或角色授权的流程详见配置空间权限集、配置权限集或配置角色。图3 表-角色 “表-用户组”页签：默认展示当前实例下，通过授权对象为用户组的权限申请和审批流程所获取的表权限。支持筛选不同的数据源类型，并通过用户组、集群名称、数据库或表名检索。权限申请和审批流程详见申请与审批权限。图4 表-用户组

数据治理中心 DATAARTS STUDIO 数据安全运营

数据治理中心 DATAARTS STUDIO-数据安全总览页面:数据分析报表

数据分析报表敏感表密级分布图展示敏感发现任务识别出的表的密级分布，密级和用户定义的一致。右侧显示用户定义的密级及其关联的敏感表数目。敏感数据识别任务的创建和运行，参考创建敏感数据发现任务。图3 敏感表密级分布图敏感字段密级分布图展示敏感发现任务识别出的表敏感字段，密级和用户定义的一致。右侧显示用户定义的密级及其关联的敏感字段数目。敏感数据识别任务的创建和运行，参考创建敏感数据发现任务。图4 敏感字段密级分布图脱敏任务趋势图敏感任务趋势图展示七天内运行的脱敏任务数来反映任务趋势变化。数据脱敏任务创建和运行，参考创建静态脱敏任务。图5 脱敏任务趋势图水印嵌入趋势图水印嵌入任务趋势图展示七天内运行的水印嵌入任务数来反映趋势变化。水印嵌入任务创建和运行，参考创建数据水印嵌入任务。图6 水印嵌入任务趋势图

数据治理中心 DATAARTS STUDIO 数据安全

数据治理中心 DATAARTS STUDIO-数据安全总览页面:配置安全管理员

配置安全管理员安全管理员由具有DAYU Administrator系统角色权限的账号指定，在DataArts Studio实例内所有工作空间的数据安全组件内，拥有最高权限。数据安全组件中，仅安全管理员和DAYU Administrator系统角色有权限进行如下操作：配置空间权限集配置行级权限访问控制同步用户配置空间资源权限配置细粒度认证配置队列权限如需配置安全管理员，则需要以具有DAYU Administrator系统角色权限的账号登录数据安全总览页面，选择某个 IAM 子用户或者用户组（选择用户组时，则该用户组中的所有用户均为安全管理员）作为安全管理员。配置安全管理员，必须由DAYU Administrator操作，安全管理员本身不可操作。安全管理员的权限当且仅当在数据安全组件生效，对于周边组件和其他服务，此身份无效。图1 配置安全管理员

数据治理中心 DATAARTS STUDIO 数据安全

文档数据库服务 DDS-设置SSL数据加密:使用须知

使用须知开启或关闭SSL会导致实例重启，请谨慎操作。在开启或关闭SSL时，文档数据库服务会进行一次重启，重启过程中每个节点会有一次约30秒的闪断，建议您安排好业务并确保应用有重连机制。开启SSL，可以通过SSL方式连接数据库，具有更高的安全性。目前已禁用不安全的加密算法，支持的安全加密算法对应的加密套件参考如下。版本支持的TLS版本支持的加密算法套件 3.4 TLS 1.2 AES256-GCM-SHA384 AES128-GCM-SHA256 4.0 TLS 1.2 DHE-RSA-AES256-GCM-SHA384 DHE-RSA-AES128-GCM-SHA256 用户的客户端所在服务器需要支持对应的TLS版本以及对应的加密算法套件，否则会连接失败。关闭SSL，可以采用非SSL方式连接数据库。

文档数据库服务 DDS 数据安全性

数据仓库服务 GaussDB(DWS)-开启GaussDB(DWS)控制台敏感操作保护:开启敏感操作保护

开启敏感操作保护操作保护默认关闭，您可以参考以下步骤开启操作保护。登录 GaussDB (DWS)管理控制台。在“控制台”页面，鼠标移动至右上方的用户名，在下拉列表中单击“安全设置”。在“安全设置”页面中，切换至“敏感操作”页签，单击“操作保护”区域的“立即启用”。图1 敏感操作在“操作保护设置”页面中，选择“开启”，单击“确定”后，开启操作保护。用户如果进行敏感操作，将进入“操作保护”页面，选择认证方式，包括邮箱、手机和虚拟MFA三种认证方式。如果用户只绑定了手机，则认证方式只能选择手机。如果用户只绑定了邮箱，则认证方式只能选择邮件。如果用户未绑定邮箱、手机和虚拟MFA，进行敏感操作时，系统将提示用户绑定邮箱、手机或虚拟MFA。如需修改验证手机号、邮件地址，请在账户中心修改。详情请参见IAM基本信息。当您开启操作保护，在进行敏感操作时，系统会先进行敏感操作保护。例如在您进行删除集群操作时，会弹出敏感操作保护验证框，需要选择一种验证方式进行验证，避免误操作带来的风险和损失。

数据仓库服务 GaussDB(DWS) GaussDB(DWS)集群数据安全与加密

对象存储服务 OBS-OBS的持久性和可用性如何？

OBS的持久性和可用性如何？ OBS通过存储介质的慢盘/坏道检测、AZ内设备和数据冗余、AZ之间数据容灾、跨区域复制等技术方案，提供针对介质、服务器、机柜、数据中心和区域的多级可靠性保障。其数据持久性高达99.9999999999%（12个9），可用性高达99.995%，远高于传统架构。选择不同存储类别、不同数据冗余存储策略时，数据的持久性和可用性会有所不同，具体请参见存储类别对比。 99.9999999999%（12个9）的持久性意味着平均每年对象损失率预计为0.0000000001%。例如，您在OBS中存储了一亿个对象，则预计平均每一万年才会出现丢失一个对象的可能。可用性也可以理解为业务连续性，99.995%的可用性意味着如果连续访问OBS十万分钟（69天左右），期间出现不可访问的时长不超过5分钟。同时，OBS提供了云服务等级协议（SLA），在出现服务可用性不达标的情况下提供补偿。父主题：数据安全、迁移和备份

对象存储服务 OBS 数据安全、迁移和备份

云架构中心-SEC08 数据隐私保护

SEC08 数据隐私保护数据隐私保护是指采取一系列措施和技术，旨在确保个人数据和敏感信息在收集、存储、处理和传输过程中得到适当的保护，以防止未经授权的访问、使用或泄露。数据隐私保护旨在维护个人隐私权利，保护个人信息的机密性和完整性。 SEC08-01 明确隐私保护策略和原则 SEC08-02 主动通知数据主体 SEC08-03 数据主体的选择和同意 SEC08-04 数据收集合规性 SEC08-05 数据使用、留存和处置合规性 SEC08-06 向第三方披露个人数据合规性 SEC08-07 数据主体有权访问其个人隐私数据父主题：数据安全与隐私保护

云架构中心数据安全与隐私保护

云架构中心-SEC07-05 传输数据的加密

SEC07-05 传输数据的加密对传输中的数据进行加密处理，以确保数据在传输过程中不被未经授权的访问者所窃取、篡改或查看。风险等级高关键策略使用加密协议：确保在数据传输过程中使用安全的加密协议，以加密数据并保护其在传输过程中不被窃取或篡改。使用最新的TLS版本（如TLS 1.2或更高版本）以确保使用最强的加密标准。安全传输通道：确保数据传输的通道是安全的，避免使用不安全的网络或公共网络来传输敏感数据。确保敏感数据在云侧和客户端之间传输时是加密的状态，即使数据被窃取，也难以解密。端到端加密：采用端到端加密的方式，确保数据在传输的整个过程中都是加密的，从数据生成端到数据接收端都能保持加密状态。对于Web应用的API，必须使用HTTPS来加密客户端和服务器之间的通信。数据完整性验证：使用哈希函数、数字签名、消息认证码（MAC）等方法来验证数据的完整性，以确保数据在传输过程中没有被篡改。相关云服务和工具虚拟专用网络 VPN 云专线 DC 云连接服务 CC 数据快递服务 DES 云证书管理 CCM 父主题： SEC07 通用数据安全

云架构中心 SEC07 通用数据安全

数据安全中心 DSC-规格版本差异

规格版本差异本章节介绍数据安全中心服务和API数据安全防护实例的版本规格差异。数据安全中心服务提供了“标准版”和“专业版”两个服务版本供您选择，其差异如表1所示。当前版本的数据库数量和OBS体量不能满足业务需求时，可以通过升级版本和规格增加数据库扩展包和OBS扩展包的数量。 OBS体量即OBS桶的“存储用量”，进入OBS服务控制台，左侧菜单选择“桶列表”查看桶“存储用量”，请根据OBS桶的“存储用量”选择大于或者相等的OBS体量。表1 服务版本差异规格版本支持添加的数据库数量支持添加的OBS体量 API调用额度支持的功能标准版 2个 100GB 不支持资产地图敏感数据识别数据风险检测专业版 2个 100GB 100W次资产地图敏感数据识别数据风险检测数据脱敏数据水印注入/提取 API接口的调用 API数据安全防护实例提供了“基础版”和“专业版”供您选择，其差异如表2所示。表2 实例版本差异业务规格基础版专业版 - 满足基础防护需求适用于中量级防护需求支持应用数量 10个（最大） 20个（最大）支持HTTP流量 1,000 Mbps 2,000 Mbps 支持HTTPS流量 500 Mbps 1,000 Mbps

数据安全中心 DSC

数据安全中心 DSC-功能特性

功能特性数据安全中心提供数据分级分类、数据脱敏、数据水印、API数据保护等基础数据安全能力，通过资产地图整体呈现云上数据安全态势，并实现一站式数据安全运营能力。同时，为满足不同用户需求，数据安全中心提供标准版和专业版两个版本供您选择。标准版：数据风险检测和数据资产分类分级。专业版：支持对分类分级后的数据资产进行静态脱敏（控制台）和动态脱敏（调用API接口）以及添加和提取数据水印。本文介绍数据安全中心支持使用的功能及各版本的功能差异。 API数据安全防护功能需要在API数据安全防护实例界面进行单独购买，详情请参见购买API数据安全防护实例。本文用到标识符号说明如下： √：表示当前版本支持使用该功能。 ×：表示当前版本不支持使用该功能。表1 功能概览功能特性说明参考文档标准版专业版资产地图数据资产地图可以通过可视化的手段，从资产概况、分类分级、权限配置、数据存储、敏感数据等多种维度查看资产的安全状况。可协助您快速发现风险资产并快速进行风险处理操作。资产可视化数据服务资产：涵盖了云上所有数据资产，包含OBS、RDS、 CSS 、Hive以及Hbase等。数据风险：数据关联分级分类结果，一览展示各个数据风险级别。分区展示：根据云上资源VPC展示各个资产所在区域，和业务区域关联。出口可视数据出口：识别云上关键数据出口，包含EIP/NAT/APIGateway/Roma等。出口关联资产：云上出口和数据关联，结合分级分类结果，一览数据出口风险。级联关联：数据出口包含直接出口和级联间接出口，不同展示方式。策略可视数据安全策略：云原生能力检测数据资产的安全策略，一览策略风险。策略推荐：根据数据资产等级推荐不同的安全策略配置。资产地图 √ √ 资产管理资产中心：DSC支持管理OBS、数据库、大数据、 MRS 数据资产以及云日志类型资产。资产目录：查看不同业务域或不同类型数据的统计信息。数据探索：查看当前已添加的所有数据资产详细信息，并对数据库、数据表以及数据视图等添加描述、标签、密级和分类操作，从而实现数据资产分级分类管理。元数据任务：用户可以创建元数据任务扫描数据资产，数据资产信息会以元数据的形式被采集、收纳到DSC中，后续用户可以对数据资产进行分级分类管理。资产分组管理：对现有数据进行分组管理。资产管理 √ √ 敏感数据识别数据自动分级分类：从海量数据中自动发现并分析敏感数据使用情况，基于数据识别引擎，对其储存结构化数据（RDS、DWS等）和非结构化数据（OBS）进行扫描、分类、分级，解决数据“盲点”，以此做进一步安全防护。文件类型：支持近200种非结构化文件。数据类型：支持数十种个人隐私数据类型，包含中英文。图片类型：支持识别（png、jpeg、x-portable-pixmap、tiff、bmp、gif、jpx、jp2总共8种类型）图片中的敏感文字，包含中英文。自动识别敏感数据自动识别敏感数据及个人隐私数据。支持自定义规则，场景适配不同行业。提供可视化识别结果，同时，可供用户下载到本地查看。 DSC服务敏感数据的识别时长将由您所扫描数据源的数据量、扫描规则数、扫描模式决定，具体请参见DSC扫描时长。新建敏感数据识别任务 √ √ 数据脱敏 DSC的数据脱敏支持静态脱敏和动态脱敏。 DSC的数据脱敏特点：不影响用户数据：从原始数据库读取数据，通过精确的脱敏引擎，对用户的敏感数据实施静态脱敏，脱敏结果另行存放，不会影响原始的用户数据。支持云上各类场景：支持RDS，E CS 自建数据库，大数据合规。满足多种脱敏需求：用户可以通过20+种预置脱敏规则，或自定义脱敏规则来对指定数据库表进行脱敏，DSC支持的脱敏算法详见脱敏算法。实现一键合规：基于扫描结果自动提供脱敏合规建议，一键配置脱敏规则。同时，DSC提供了数据动态脱敏的API接口供您使用，具体请参考数据动态脱敏。 DSC通过内置和自定义脱敏算法，实现对RDS、Elasticsearch、MRS、Hive、HBase、 DLI 以及OBS数据进行脱敏，具体的脱敏时长请参见DSC脱敏时长。配置脱敏规则 × √ 数据水印针对数据库、文档以及图片提供了注入和提取水印的功能。版权证明：嵌入数据拥有者的信息，保证资产唯一归属，实现版权保护。追踪溯源：嵌入数据使用者的信息，在发生数据泄露事件时，追踪其泄露源头。同时，DSC提供了数据动态添加水印和提取数据水印的API接口供您使用，具体请参考API接口参考。水印注入 × √ 策略中心策略基线：策略基线是数据安全管理规定、数据分类分级要求、数据出境管理规定、重要数据和核心数据要求等数据安全策略结构化，DSC依据华为云数据安全治理经验预置策略模板，支持策略的增删改查、策略的结构化展示和过滤查询等。流转日志采集：DSC对各个应用中的日志数据进行采集，如DBSS服务和API数据安全防护，可动态的采集用户访问行为的路径，可以快速全面支撑溯源或定位，直观了解数据的流转情况，及时发现异常和风险。策略管理：管理员在策略中心的策略管理页面制定数据库审计、数据库加密、数据库水印、数据库静态脱敏、数据库动态脱敏策略，下发给相应的服务或者实例。策略中心 √ √ API数据安全防护 API数据安全防护是一款为企业提供综合的API安全防护系统。对应用API接口进行自动梳理，实现应用接口细粒度访问控制、API异常风险发现、API敏感数据检测、脱敏和水印等能力。 API数据安全防护单独购买实例单独购买实例态势大屏数据安全中心默认提供一个综合态势感知大屏，对云上风险资产、识别任务、脱敏任务、水印任务、事件、告警等信息进行综合展示和分析，实现一屏全面感知，帮助用户快速识别资产综合态势，对风险资产和紧急告警快速做出响应。态势大屏 √ √ 告警管理当DBSS有系统或者业务方面的风险告警事件时，会将告警事件推送到DSC，用户可以在DSC控制台确认相关的告警事件。告警管理 √ √ 事件管理数据安全中心对接数据库审计、云堡垒机等安全组件，对各组件事件进行统一管理，会将事件实时推送到DSC，用户可以对事件进行确认和处理。也可以将告警页面的告警转事件。事件管理 √ √ OBS使用审计数据安全中心服务根据敏感数据规则对OBS桶进行识别，根据识别的敏感数据进行监控，监控到敏感数据的异常事件相关操作后，会将监控结果展示在异常事件处理页面中，用户可根据需要对异常事件进行处理。 OBS使用审计 √ √ 数据流转详情调用链数据采集，对各个应用中的日志数据进行采集。调用链数据存储及查询，对采集到的数据进行存储，由于日志数据量一般都很大，不仅要能对其存储，还需要能提供快速查询。调用链数据生成，DSC负责对采集上报的日志进行数据链路流转分析，并绘制流转图指标运算、存储及查询，对采集到的日志数据进行各种指标运算，将运算结果保存起来。数据流转详情 √ √ 设备管理设备管理的作用是纳管第三方设备，包含应用数据审计设备、应用数据安全网关设备、数据库防火墙设备、数据库加密设备，进行状态监控和告警展示，将风险和告警呈现给客户。管理员在数据安全设备管理的策略管理页面制定数据库加密、数据库动脱策略、数据库静态脱敏，下发给数据库加密（动脱）、数据库静态脱敏设备生效。设备管理 √ √ 多账号管理开启多账号管理功能后，安全管理员在安全运营账号中对所有成员账号进行统一的数据安全防护，而无需逐个登录到成员账号。多账号管理 √ √ 告警通知通过设置告警通知，当敏感数据检测完成后或异常事件处理监测到异常事件时，DSC会将其检测结果通过用户设置的接收通知方式发送给用户。告警通知 √ √

数据安全中心 DSC

数据安全中心 DSC-责任共担

责任共担华为云秉承“将公司对网络和业务安全性保障的责任置于公司的商业利益之上”。针对层出不穷的云安全挑战和无孔不入的云安全威胁与攻击，华为云在遵从法律法规业界标准的基础上，以安全生态圈为护城河，依托华为独有的软硬件优势，构建面向不同区域和行业的完善云服务安全保障体系。安全性是华为云与您的共同责任，如图1所示。华为云：负责云服务自身的安全，提供安全的云。华为云的安全责任在于保障其所提供的 IaaS、PaaS 和 SaaS 类云服务自身的安全，涵盖华为云数据中心的物理环境设施和运行其上的基础服务、平台服务、应用服务等。这不仅包括华为云基础设施和各项云服务技术的安全功能和性能本身，也包括运维运营安全，以及更广义的安全合规遵从。租户：负责云服务内部的安全，安全地使用云。华为云租户的安全责任在于对使用的 IaaS、PaaS 和 SaaS 类云服务内部的安全以及对租户定制配置进行安全有效的管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火墙、API 网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。《华为云安全白皮书》详细介绍华为云安全性的构建思路与措施，包括云安全战略、责任共担模型、合规与隐私、安全组织与人员、基础设施安全、租户服务与租户安全、工程安全、运维运营安全、生态安全。图1 华为云安全责任共担模型父主题：安全

数据安全中心 DSC

数据安全中心 DSC-约束与限制:DSC支持的华为云数据源

DSC支持的华为云数据源关系型数据库（Relational Database Service，RDS）对象存储服务（Object Storage Service，OBS） OBS只支持桶列表，不支持并行文件系统。数据仓库服务（Data Warehouse Service，DWS）文档数据库服务（Document Database Service，DDS） MapReduce服务（MapReduce Service，MRS）云搜索服务（Cloud Search Service，CSS）数据湖探索服务（Data Lake Insight，DLI）云数据库服务（GaussDB）弹性云服务器（Elastic Cloud Server ，ECS）的自建数据库，支持的自建数据库版本如表1所示。裸金属服务器（Bare Metal Server，BMS）的自建数据库云日志服务（Log Tank Service，LTS）

数据安全中心 DSC

数据安全中心 DSC-约束与限制:数据库加密支持的数据库类型及版本

数据库加密支持的数据库类型及版本数据源类型版本 MySQL 5.6、5.7、5.8、8.0 SQL Server 2019_SE、2019_EE、2019_WEB 2017_SE、2017_EE、2017_WEB 2016_SE、2016_EE、2016_WEB 2014_SE、2014_EE 2012_SE、2012_EE、2012_WEB 2008_R2_EE、2008_R2_WEB Oracle 11、12 PostgreSQL 13、12、11、10、9.6、9.5、9.4 KingBase(人大金仓) V8 DMDBMS(达梦) 7、8 TDSQL 10.3.X DWS 8.1.X

数据安全中心 DSC

数据安全中心 DSC-约束与限制:DSC支持的数据源类型及版本

DSC支持的数据源类型及版本表1 DSC支持的数据源类型及版本数据类型数据源类型版本数据库 MySQL 5.6、5.7、5.8、8.0 SQL Server 2017_SE、2017_EE、2017_WEB 2016_SE、2016_EE、2016_WEB 2014_SE、2014_EE 2012_SE、2012_EE、2012_WEB 2008_R2_EE、2008_R2_WEB PostgreSQL 15、14、13、12、11、10、9.6、9.5、9.4、9.1、1.0 TDSQL 10.3.X Oracle 11、12 DDS 4.2、4.0、3.4 KingBase V8 GaussDB 1.3、1.4、2.7 DMDBMS 7、8 DWS 8.1.X 大数据 ElasticSearch 5.x、6.x、7.x DLI 1.0 Hive 1.0 MRS-Hive 3.x Hbase 1.0 OBS OBS V3

数据安全中心 DSC

数据安全中心 DSC-约束与限制:数据脱敏功能支持的数据源类型

数据脱敏功能支持的数据源类型表3 数据脱敏功能支持的数据源脱敏类型资产类型支持的数据源类型数据库脱敏数据库 SQLServer、MySQL、TDSQL、PostgreSQL、KingBase(人大金仓)、DMDBMS(达梦)、GaussDB、Oracle、DWS Elasticsearch脱敏大数据 Elasticsearch Hive脱敏 Hive HBase脱敏 HBase DLI脱敏 DLI MRS脱敏 MRS MRS_HIVE OBS脱敏 OBS OBS桶文件

数据安全中心 DSC

云服务器内容精选

数据安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线