检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
行级访问控制 在业务开发过程中，存在多个用户共同访问和维护同一张表的场景，需要针对不同用户设置不同行数据的访问权限。例如只允许用户A查看跟自己相关的行数据，即相对于表的管理员能看到全部表数据而言，用户A执行SELECT * FROM table_name的时候，只能看到部分行数据
如果勾选“立即重启集群”，系统将保存“安全设置”页面的配置并立即重启集群，集群重启成功后安全设置将立即生效。 如果不勾选“立即重启集群”，系统将只保存“安全设置”页面的配置。稍后，用户需要手动重启集群才能使安全设置生效。 安全设置完成后，在“安全设置”页面，“配置状态”有如下3种状态：
用户可以登录VPC管理控制台手动创建一个安全组，然后回到GaussDB(DWS)创建集群页面，单击“安全组”下拉列表旁边的按钮，刷新后在“安全组”下拉列表中选择新建的安全组。 为了使GaussDB(DWS)客户端可以连接集群，用户需要在新建的安全组中添加一条入规则，开放GaussDB(DWS)集群的数据库端口的访问权限。
转加密集群 GaussDB(DWS)支持在控制台对未加密的集群，在集群状态为“可用”的情况下转为加密集群。为了保障数据的安全，由于转加密集群是不可逆的高危操作，会重启集群，可能会导致有业务短暂不可用，用户请谨慎操作。 如果当前控制台界面不支持该功能，请联系技术支持人员。 创建KMS委托
用主密钥加密新的CEK明文并将CEK密文保存在GaussDB(DWS)服务中。 您可以根据业务需求和数据类型计划轮转加密密钥的时间。为了提高数据的安全性，建议用户定期执行轮转密钥以避免密钥被破解的风险。一旦您发现密钥可能已泄露，请及时轮转密钥。 GaussDB(DWS)轮转集群的CEK时
理中，为了避免系统管理员拥有过度集中的权利带来高风险，可以设置三权分立，将系统管理员的权限分立给安全管理员和审计管理员。 三权分立后，系统管理员将不再具有CREATEROLE属性（安全管理员）和AUDITADMIN属性（审计管理员）能力。即不再拥有创建角色和用户的权限，并不再拥有
理中，为了避免系统管理员拥有过度集中的权利带来高风险，可以设置三权分立，将系统管理员的权限分立给安全管理员和审计管理员。 三权分立后，系统管理员将不再具有CREATEROLE属性（安全管理员）和AUDITADMIN属性（审计管理员）能力。即不再拥有创建角色和用户的权限，并不再拥有
Masking)功能。针对某些敏感信息（如身份证号、手机号、银行卡号等），通过应用脱敏函数进行原始数据的变形改写，实现敏感隐私数据的可靠保护，从而增强产品在数据安全和隐私保护方面的能力。 创建表的数据脱敏策略 GaussDB(DWS)通过使用CREATE REDACTION POLICY语法在表上创建
USER可以创建和管理数据库用户。 非三权分立下，GaussDB(DWS)用户账户只能由系统管理员或拥有CREATEROLE属性的安全管理员创建和删除。 三权分立时，用户账户只能由安全管理员创建。 创建用户 CREATE USER语句用于创建新的GaussDB(DWS)用户。创建新用户后，可以使用该用户连接数据库。
轮转加密密钥 在创建集群时，如果您在“高级配置”中为集群启用了“加密数据库”的功能，在集群创建成功后，您可以为集群轮转加密密钥。当普通集群转为加密集群时，也可以为集群轮转加密密钥。每执行一次密钥轮转，就更新一次集群加密密钥（CEK）。执行密钥轮转时，集群仍处于“可用”状态。 为GaussDB(DWS)集群轮转加密密钥
USER可以创建和管理数据库用户。 非三权分立下，GaussDB(DWS)用户账户只能由系统管理员或拥有CREATEROLE属性的安全管理员创建和删除。 三权分立时，用户账户只能由安全管理员创建。 创建用户 CREATE USER语句用于创建新的GaussDB(DWS)用户。创建新用户后，可以使用该用户连接数据库。
GaussDB(DWS)行级访问控制 行级访问控制特性可以将数据库访问控制精确到数据表行级别，控制用户只能访问数据表的特定数据行，保证读写数据的安全。 行级访问控制设置 行级访问控制的目的是控制表中行级数据可见性，通过在数据表上预定义Filter，在查询优化阶段将满足条件的表达式应用到
密码策略包含：密码复杂度要求、密码有效期、密码重用设置以及密码的加密方式及密码重试与锁定，不同的策略项由对应的GUC参数控制，参见下表（详细内容也可参考安全和认证（postgresql.conf））： 表1 自定义密码策略及对应GUC参数 密码策略 对应参数名称 参数描述 参数取值范围 GaussDB(DWS)默认值
hv7mdBy7IVnzdrp0rdMrD6/zTl8w0v9/s2OA== (1 row) 由于该函数的执行过程需要传入解密口令，为了安全起见，gsql工具不会将该函数记录入执行历史。即无法在gsql里通过上下翻页功能找到该函数的执行历史。 在同一张数据表中，加密函数ge_e
Masking)功能。针对某些敏感信息（如身份证号、手机号、银行卡号等），通过应用脱敏函数进行原始数据的变形改写，实现敏感隐私数据的可靠保护，从而增强产品在数据安全和隐私保护方面的能力。 创建表的数据脱敏策略 GaussDB(DWS)通过使用CREATE REDACTION POLICY语法在表上创建
密码策略包含：密码复杂度要求、密码有效期、密码重用设置以及密码的加密方式及密码重试与锁定，不同的策略项由对应的GUC参数控制，参见下表（详细内容也可参考安全和认证（postgresql.conf））： 表1 自定义密码策略及对应GUC参数 密码策略 对应参数名称 参数描述 参数取值范围 GaussDB(DWS)默认值
作的访问，可以将这些角色授权予数据库中的其他用户或角色，使这些用户能够访问或使用特定的信息和功能。请谨慎使用预置角色，以确保预置角色权限的安全使用。 预置角色允许的权限范围可参考下表： 表1 预置角色允许的权限范围 角色 权限描述 gs_role_signal_backend 具
hv7mdBy7IVnzdrp0rdMrD6/zTl8w0v9/s2OA== (1 row) 由于该函数的执行过程需要传入解密口令，为了安全起见，gsql工具不会将该函数记录入执行历史。即无法在gsql里通过上下翻页功能找到该函数的执行历史。 在同一张数据表中，加密函数ge_e
GaussDB(DWS)行级访问控制 行级访问控制特性将数据库访问控制精确到数据表行级别，使数据库达到行级访问控制的能力。不同用户执行相同的SQL查询操作，读取到的结果是不同的。 用户可以在数据表创建行访问控制(Row Level Security)策略，该策略是指针对特定数据库
pgcrypto函数在数据库服务器内部运行，这意味着所有数据和密码都以明文形式在pgcrypto和客户端应用程序之间传输。为了获得最佳安全性，建议在客户端和GaussDB(DWS)服务器之间使用SSL连接。 有关pgcrypto模块中各个函数的详细信息如下： 通用哈希函数 digest()
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
