管理数据库安全-华为云

云数据库 GAUSSDB-数据库审计:背景信息

背景信息数据库安全对数据库系统来说至关重要。 GaussDB 将用户对数据库的所有操作写入审计日志。数据库审计管理员可以利用这些日志信息，重现导致数据库现状的一系列事件，找出非法操作的用户、时间和内容等。关于审计功能，用户需要了解以下几点内容：审计总开关audit_enabled支持动态加载。在数据库运行期间修改该配置项的值会立即生效，无需重启数据库。默认值为on，表示开启审计功能。除了审计总开关，各个审计项也有对应的开关。只有开关开启，对应的审计功能才能生效。各审计项的开关支持动态加载。在数据库运行期间修改审计开关的值，不需要重启数据库便可生效。目前，GaussDB支持以下审计项如表1所示。表1 配置审计项配置项描述用户登录、注销审计参数：audit_login_logout 默认值为7，表示开启用户登录、退出的审计功能。设置为0表示关闭用户登录、退出的审计功能。不推荐设置除0和7之外的值。数据库启动、停止、恢复和切换审计参数：audit_database_process 默认值为1，表示开启数据库启动、停止、恢复和切换的审计功能。用户锁定和解锁审计参数：audit_user_locked 默认值为1，表示开启审计用户锁定和解锁功能。用户访问越权审计参数：audit_user_violation 默认值为0，表示关闭用户越权操作审计功能。授权和回收权限审计参数：audit_grant_revoke 默认值为1，表示开启审计用户权限授予和回收功能。数据库对象的CREATE，ALTER，DROP操作审计参数：audit_system_object 默认值为67121159，表示只对DATABASE、SCHEMA、USER、NODE GROUP这四类数据库对象的CREATE、ALTER、DROP操作进行审计。具体表的INSERT、UPDATE和DELETE操作审计参数：audit_dml_state 默认值为0，表示关闭具体表的DML操作（SELECT除外）审计功能。 SELECT操作审计参数：audit_dml_state_select 默认值为0，表示关闭SELECT操作审计功能。 COPY审计参数：audit_copy_exec 默认值为1，表示打开copy操作审计功能。存储过程和自定义函数的执行审计参数：audit_function_exec 默认值为0，表示不记录存储过程和自定义函数的执行审计日志。 SET审计参数：audit_set_parameter 默认值为0，表示不记录set操作审计日志事务ID记录参数：audit_xid_info 默认值为0，表示关闭审计日志记录事务ID功能。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-数据库审计:背景信息

背景信息数据库安全对数据库系统来说至关重要。GaussDB将用户对数据库的所有操作写入审计日志。数据库审计管理员可以利用这些日志信息，重现导致数据库现状的一系列事件，找出非法操作的用户、时间和内容等。关于审计功能，用户需要了解以下几点内容：审计总开关audit_enabled支持动态加载。在数据库运行期间修改该配置项的值会立即生效，无需重启数据库。默认值为on，表示开启审计功能。除了审计总开关，各个审计项也有对应的开关。只有开关开启，对应的审计功能才能生效。各审计项的开关支持动态加载。在数据库运行期间修改审计开关的值，不需要重启数据库便可生效。目前，GaussDB支持以下审计项如表1所示。表1 配置审计项配置项描述用户登录、注销审计参数：audit_login_logout 默认值为7，表示开启用户登录、退出的审计功能。设置为0表示关闭用户登录、退出的审计功能。不推荐设置除0和7之外的值。数据库启动、停止、恢复和切换审计参数：audit_database_process 默认值为1，表示开启数据库启动、停止、恢复和切换的审计功能。用户锁定和解锁审计参数：audit_user_locked 默认值为1，表示开启审计用户锁定和解锁功能。用户访问越权审计参数：audit_user_violation 默认值为0，表示关闭用户越权操作审计功能。授权和回收权限审计参数：audit_grant_revoke 默认值为1，表示开启审计用户权限授予和回收功能。数据库对象的CREATE，ALTER，DROP操作审计参数：audit_system_object 默认值为67121159，表示只对DATABASE、SCHEMA、USER、SQL Patch这四类数据库对象的CREATE、ALTER、DROP操作进行审计。具体表的INSERT、UPDATE和DELETE操作审计参数：audit_dml_state 默认值为0，表示关闭具体表的DML操作（SELECT除外）审计功能。 SELECT操作审计参数：audit_dml_state_select 默认值为0，表示关闭SELECT操作审计功能。 COPY审计参数：audit_copy_exec 默认值为1，表示开启copy操作审计功能。存储过程和自定义函数的执行审计参数：audit_function_exec 默认值为0，表示不记录存储过程和自定义函数的执行审计日志。 SET审计参数：audit_set_parameter 默认值为0，表示不记录set操作审计日志事务ID记录参数：audit_xid_info 默认值为0，表示关闭审计日志记录事务ID功能。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:创建加密表

创建加密表登录数据库，创建加密表tde_test1，加密状态为开启，指定加密算法为AES_128_CTR： openGauss=# CREATE TABLE tde_test (a int, b text) with (enable_tde = on, encrypt_algo = 'AES_128_CTR'); 创建加密表tde_test2，加密状态为开启，不指定加密算法，则加密算法默认为AES_128_CTR： openGauss=# CREATE TABLE tde_test2 (a int, b text) with (enable_tde = on); 创建加密表tde_test3，加密状态为关闭，指定加密算法为SM4_CTR： openGauss=# CREATE TABLE tde_test3 (a int, b text) with (enable_tde = off, encrypt_algo = 'SM4_CTR');

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:表级加密方案

表级加密方案允许用户在创建表时指定是否对表进行加密和使用的加密算法，加密算法支持AES_128_CTR和SM4_CTR两种算法，算法一旦指定不可更改。对于创建表时指定为加密的表，数据库会自动为该表申请创建数据加密密钥，并将加密算法、密钥密文和对应主密钥ID等参数使用"keyword=value"格式保存在pg_class系统表中的reloptions字段中。对于加密表，允许用户切换表的加密状态，即将加密表切换为非加密表，或将非加密表切换为加密表。如果在创建表时未使能加密功能，后续无法再切换为加密表。对于加密表，支持数据加密密钥轮转。密钥轮转后，使用旧密钥加密的数据仍使用旧密钥解密，新写入的数据使用新密钥加密。密钥轮转时不更换加密算法。对于行存表，每次加解密的最小数据单元为一个8K大小的page页面，每次对page页面加密时会通过安全随机数接口生成IV值，并将IV值和密钥密文、主密钥ID等信息保存在页面中一起写入存储介质。对于加密表由于page页面中需要保存加密密钥信息，相比不加密时占用存储空间膨胀约2.5%。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:密钥管理机制

密钥管理机制透明数据加密功能中数据的加密和解密都依赖于安全可靠的密钥管理机制。本功能采用三层密钥结构实现密钥管理机制，即根密钥（RK）、主密钥（CMK）和数据加密密钥（DEK）。主密钥由根密钥加密保护，数据加密密钥由主密钥加密保护。数据加密密钥用于对用户数据进行加密和解密，每个表对应一个数据加密密钥。根密钥和主密钥保存在KMS服务中，数据加密密钥通过向KMS服务申请创建，创建成功可同时返回密钥明文和密文。数据加密密钥明文在内存中会使用hash表进行缓存减少访问KMS频次以提升性能，密钥明文只存在内存中使用不会落盘，并且支持自动淘汰机制删除不常使用的密钥明文，只保存最近1天内使用的密钥明文。数据加密密钥密文保存在数据库中并落盘持久化。对用户表数据加解密时，如果内存中没有对应密钥明文则需向KMS申请对数据密钥解密后再使用。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:背景信息

背景信息当前版本主要实现对接华为云KMS服务，支持表级密钥存储，实现对行存表加密，规格约束如下：支持heap存储行存表加密。不支持物化视图加密，不支持ustore存储引擎加密。不支持索引和Sequence加密，不支持xLog日志加密，不支持MOT内存表加密，不支持系统表加密。用户在创建表时可以指定加密算法，加密算法一旦指定不可更改。如果创建表时设置enable_tde为on，但是不指定加密算法encrypt_algo，则默认使用AES_128_CTR加密算法。如果在创建表时未开启加密功能或指定加密算法，后续无法再切换为加密表。对于已分配加密密钥的表，切换表的加密和非加密状态，不会更换密钥和加密算法。数据密钥轮转只有开启表加密功能时才支持轮转。不支持单数据库实例跨region的多副本主备同步，不支持单数据库实例跨region的扩容，不支持跨region的备份恢复、数据库实例容灾和数据迁移场景。混合云场景如果使用华为云KMS和管控面功能，则可以支持透明数据加密，其他KMS服务如果接口不兼容则无法支持。加密表的查询性能比不加密时会有所劣化，对于性能有较高要求的情况下需谨慎开启加密功能。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:表级加密方案

表级加密方案允许用户在创建表时指定是否对表进行加密和使用的加密算法，加密算法支持AES_128_CTR和SM4_CTR两种算法，算法一旦指定不可更改。对于创建表时指定为加密的表，数据库会自动为该表申请创建数据加密密钥，并将加密算法、密钥密文和对应主密钥ID等参数使用"keyword=value"格式保存在pg_class系统表中的reloptions字段中。对于加密表，允许用户切换表的加密状态，即将加密表切换为非加密表，或将非加密表切换为加密表。如果在创建表时未使能加密功能，后续无法再切换为加密表。对于加密表，支持数据加密密钥轮转。密钥轮转后，使用旧密钥加密的数据仍使用旧密钥解密，新写入的数据使用新密钥加密。密钥轮转时不更换加密算法。对于行存表，每次加解密的最小数据单元为一个8K大小的page页面，每次对page页面加密时会通过安全随机数接口生成IV值，并将IV值和密钥密文、主密钥ID等信息保存在页面中一起写入存储介质。对于加密表由于page页面中需要保存加密密钥信息，相比不加密时占用存储空间膨胀约2.5%。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:背景信息

背景信息当前版本主要实现对接华为云KMS服务，支持表级密钥存储，实现对行存表加密，规格约束如下：支持heap存储行存表加密。不支持物化视图加密，不支持ustore存储引擎加密。不支持索引和Sequence加密，不支持xLog日志加密，不支持MOT内存表加密，不支持系统表加密。用户在创建表时可以指定加密算法，加密算法一旦指定不可更改。如果创建表时设置enable_tde为on，但是不指定加密算法encrypt_algo，则默认使用AES_128_CTR加密算法。如果在创建表时未开启加密功能或指定加密算法，后续无法再切换为加密表。对于已分配加密密钥的表，切换表的加密和非加密状态，不会更换密钥和加密算法。数据密钥轮转只有开启表加密功能时才支持轮转。不支持单集群跨region的多副本主备同步，不支持单集群跨region的扩容，不支持跨region的备份恢复、集群容灾和数据迁移场景。加密表的查询性能比不加密时会有所劣化，对于性能有较高要求的情况下需谨慎开启加密功能。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:密钥管理机制

密钥管理机制透明数据加密功能中数据的加密和解密都依赖于安全可靠的密钥管理机制。本功能采用三层密钥结构实现密钥管理机制，即根密钥（RK）、主密钥（CMK）和数据加密密钥（DEK）。主密钥由根密钥加密保护，数据加密密钥由主密钥加密保护。数据加密密钥用于对用户数据进行加密和解密，每个表对应一个数据加密密钥。根密钥和主密钥保存在KMS服务中，数据加密密钥通过向KMS服务申请创建，创建成功可同时返回密钥明文和密文。数据密钥明文在内存中会使用hash表进行缓存减少访问KMS频次以提升性能，密钥明文只存在内存中使用不会落盘，并且支持自动淘汰机制删除不常使用的密钥明文，只保存最近1天内使用的密钥明文。数据加密密钥密文保存在数据库中并落盘持久化。对用户表数据加解密时，如果内存中没有对应密钥明文则需向KMS申请对数据密钥解密后再使用。

云数据库 GAUSSDB 管理数据库安全

云数据库 GAUSSDB-设置透明数据加密（TDE）:创建加密表

创建加密表登录数据库，创建加密表tde_test1，加密状态为开启，指定加密算法为AES_128_CTR： CREATE TABLE tde_test (a int, b text) with (enable_tde = on, encrypt_algo = 'AES_128_CTR'); 创建加密表tde_test2，加密状态为开启，不指定加密算法，则加密算法默认为AES_128_CTR： CREATE TABLE tde_test2 (a int, b text) with (enable_tde = on); 创建加密表tde_test3，加密状态为关闭，指定加密算法为SM4_CTR： CREATE TABLE tde_test3 (a int, b text) with (enable_tde = off, encrypt_algo = 'SM4_CTR');

云数据库 GAUSSDB 管理数据库安全

云服务器内容精选

管理数据库安全

7*24

备案

专业服务

退订

建议反馈

售前咨询热线