PolarDB:EncJDBC の統合

ステップ 1：KMS アクセス権限の設定

1. AccessKey ペアの取得：Resource Access Management (RAM) ユーザーの AccessKeyId と AccessKeySecret を取得します。これにより、アプリケーションは Key Management Service (KMS) によって管理されるマスター暗号化キー (MEK) を取得できます。

   1. KMS へのアクセスに適した RAM ユーザーが既にある場合は、そのユーザーを使用できます。

   2. 適切な RAM ユーザーがいない場合は、RAM コンソールに移動します。左側のナビゲーションウィンドウで、[ID 管理] > [ユーザー] を選択します。[ユーザーの作成] をクリックし、画面の指示に従ってユーザーを作成します。

2. RAM ユーザーへの権限付与：

   1. RAM コンソールに移動します。左側のナビゲーションウィンドウで、[権限管理] > [アクセスポリシー] を選択します。[アクセスポリシーの作成] をクリックします。スクリプトエディターに切り替え、次の内容をコピーして [OK] をクリックします。ポリシー名を入力し、作成を完了します。

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": "KMS:Decrypt",
                  "Resource": "*"
              }
          ]
      }

   2. RAM コンソールに戻ります。左側のナビゲーションウィンドウで、[ID 管理] > [ユーザー] を選択します。対象の RAM ユーザーを見つけます。[操作] 列で、[権限の追加] をクリックします。新しく作成したアクセスポリシーをユーザーに付与します。これにより、PolarDB はデータを動的に復号できるようになります。

3. KMS インスタンスエンドポイントの取得：

   • VPC エンドポイント (デフォルト): デフォルトでは、KMS インスタンスのキーは VPC 内からのみアクセスできます。KMS インスタンス管理ページに移動し、インスタンスが配置されているリージョンを選択し、ターゲット KMS インスタンスを見つけ、[操作] 列の [詳細] をクリックします。その後、[基本情報] タブで、インスタンスの VPC エンドポイントを表示できます。

   • パブリックエンドポイント：インターネット経由でキーにアクセスするには、[RD Multi-Account] タブでパブリックネットワークアクセスを有効にする必要があります。パブリックアクセスを有効にすると、[基本情報] タブで [パブリックエンドポイント] を表示できます。

ステップ 2：依存関係のインストール

Maven プロジェクトの pom.xml ファイルに次の依存関係を追加します。

<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>aliyun-cls-jdbc</artifactId>
    <version>1.0.10-1</version>
</dependency>

ステップ 3：データベース接続のための MEK の設定

MEK は、JDBC properties、ファイル、または URL を使用して構成できます。2 つ以上のメソッドを使用して JDBC を構成する場合、優先順位は次のとおりです。JDBC properties 構成 > ファイル構成 > URL 構成。

// エンドポイント (ホスト名)、ポート、データベースインスタンス名 (dbname)、ユーザー名、パスワードなどの接続情報を準備します。
String hostname = "your-hostname";
String port = "your-port";
String dbname = "your-database-name";
String username = "your-username";
String password = "your-password";

// 環境変数から AccessKey ID と AccessKey Secret を取得します。
String accessKeyId = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
// 一時的な STS アクセス認証情報を使用して KMS キーを読み取る場合は、取得した Security Token Service トークン (SecurityToken) も入力する必要があります。
// String stsToken= "yourSecurityToken";

// KMS インスタンスのエンドポイントには、パブリックネットワークアクセスの場合はパブリックエンドポイントを、VPC 内のアクセスの場合はインスタンスの VPC エンドポイントを使用します。
String kmsEndpoint = "your-kms-endpoint";

Properties props = new Properties();
props.setProperty("user", username);
props.setProperty("password", password);
props.setProperty("ALIBABA_CLOUD_ACCESS_KEY_ID", accessKeyId);
props.setProperty("ALIBABA_CLOUD_ACCESS_KEY_SECRET", accessKeySecret);
props.setProperty("ALIBABA_CLOUD_KMS_ENDPOINT", kmsEndpoint);
// props.setProperty("ALIBABA_CLOUD_STS_TOKEN","stsToken");

// 以下は MySQL データベースの接続 URL フォーマットです: "jdbc:mysql:encdb://%s:%s/%s"。
String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);

// 以下は MySQL データベース用の EncJDBC ドライバーをロードします。
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");

// データベース接続を取得します。
Connection connection = DriverManager.getConnection(dbUrl, props);

// ... クエリを開始 ...

// エンドポイント (ホスト名)、ポート、データベースインスタンス名 (dbname)、ユーザー名、パスワードなどの接続情報を準備します。
String hostname = "your-hostname";
String port = "your-port";
String dbname = "your-database-name";
String username = "your-username";
String password = "your-password";

// 環境変数から AccessKey ID と AccessKey Secret を取得します。
String accessKeyId = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID");
String accessKeySecret = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
// 一時的な STS アクセス認証情報を使用して KMS キーを読み取る場合は、取得した Security Token Service トークン (SecurityToken) も入力する必要があります。
// String stsToken= "yourSecurityToken";

// KMS インスタンスのエンドポイントには、パブリックネットワークアクセスの場合はパブリックエンドポイントを、VPC 内のアクセスの場合はインスタンスの VPC エンドポイントを使用します。
String kmsEndpoint = "your-kms-endpoint";

// 以下は MySQL データベースの接続 URL フォーマットです。
String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s?ALIBABA_CLOUD_ACCESS_KEY_ID=%s&ALIBABA_CLOUD_ACCESS_KEY_SECRET=%s&ALIBABA_CLOUD_KMS_ENDPOINT=%s", hostname, port, dbname, accessKeyId, accessKeySecret, kmsEndpoint);
// STS トークンを使用します。
// String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s?ALIBABA_CLOUD_ACCESS_KEY_ID=%s&ALIBABA_CLOUD_ACCESS_KEY_SECRET=%s&ALIBABA_CLOUD_KMS_ENDPOINT=%s&ALIBABA_CLOUD_STS_TOKEN=%s", hostname, port, dbname, accessKeyId, accessKeySecret, kmsEndpoint, stsToken);

// 以下は MySQL データベース用の EncJDBC ドライバーをロードします。
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");

// データベース接続を取得します。
Connection connection = DriverManager.getConnection(dbUrl, username, password);

// ... クエリを開始 ...

ステップ 4：暗号化された列からプレーンテキストデータをクエリする

データベースへの接続に成功した後、通常の JDBC クエリと同様にデータベース操作を実行できます。EncJDBC は暗号化された列を自動的に復号し、プレーンテキストデータを返します。

例

// クエリ文を作成します。
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery("SELECT * FROM your_table_name");

// 結果セットを走査します。
while (resultSet.next()) {
    for (int i = 0; i < resultSet.getMetaData().getColumnCount(); i++) {
        System.out.print(resultSet.getString(i + 1));
        System.out.print("\t");
    }
    System.out.print("\n");
}

付録：完全なコード例

import java.sql.*;
import java.util.Properties;

public class EncryptedColumnAccess {
    public static void main(String[] args) throws ClassNotFoundException, SQLException {
        // 以下の接続情報を、エンドポイント (ホスト名)、ポート、データベースインスタンス名 (dbname)、ユーザー名、パスワードなど、ご利用のインスタンスの詳細に更新してください。
        String hostname = "your-hostname";
        String port = "your-port";
        String dbname = "your-database-name";
        String username = "your-username";
        String password = "your-password";

        // 環境変数から AccessKey ID と AccessKey Secret を取得します。
        String accessKeyId = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_ID");
        String accessKeySecret = System.getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET");
        // 一時的な STS アクセス認証情報を使用して KMS キーを読み取る場合は、取得した Security Token Service トークン (SecurityToken) も入力する必要があります。
        // String stsToken= "yourSecurityToken";

        // KMS インスタンスのエンドポイントには、パブリックネットワークアクセスの場合はパブリックエンドポイントを、VPC 内のアクセスの場合はインスタンスの VPC エンドポイントを使用します。
        String kmsEndpoint = "your-kms-endpoint";

        Properties props = new Properties();
        props.setProperty("user", username);
        props.setProperty("password", password);
        props.setProperty("ALIBABA_CLOUD_ACCESS_KEY_ID", accessKeyId);
        props.setProperty("ALIBABA_CLOUD_ACCESS_KEY_SECRET", accessKeySecret);
        props.setProperty("ALIBABA_CLOUD_KMS_ENDPOINT", kmsEndpoint);
        // props.setProperty("ALIBABA_CLOUD_STS_TOKEN","stsToken");

        // MySQL データベースの接続 URL フォーマットは "jdbc:mysql:encdb://%s:%s/%s" です。
        String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);

        // EncJDBC ドライバーをロードします。
        Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");

        // データベース接続を取得します。
        Connection connection = DriverManager.getConnection(dbUrl, props);

        // クエリを開始します。
        try {
            // クエリ文を作成します。
            Statement statement = connection.createStatement();
            ResultSet resultSet = statement.executeQuery("SELECT * FROM users");

            // 結果セットを走査します。
            while (resultSet.next()) {
                int id = resultSet.getInt("id");
                String name = resultSet.getString("username");
                String phone = resultSet.getString("phone");

                // テーブルスキーマに基づいて他のフィールドを処理します。
                System.out.println("ID: " + id + ", Name: " + name + ", Phone: " + phone);
            }

            // リソースを閉じます。
            resultSet.close();
            statement.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}

ステップ 1：MEK の生成

MEK：MEK は、安全な非対称鍵暗号化プロトコルを使用してクライアントからデータベースサーバーに送信されます。これにより、サーバーとクライアントは同じキーを共有して、対称暗号化による安全なデータ伝送が可能になります。

有効な値：長さ 32 文字の 16 バイトの 16 進文字列。例：00112233445566778899aabbccddeeff。

一般的な生成方法：パスワード生成ツールやプログラミング言語のランダム関数を使用できます。

例

• Linux では、組み込みの OpenSSL ツールを使用できます。openssl rand -hex 16 を実行してキーを生成します。

  # OpenSSL を使用して安全なランダムキーを生成
  openssl rand -hex 16
  # 出力例: 11ce9a9489fab7355cf710837cea5d5b

• Windows では、OpenSSL パッケージをインストールできます。

ステップ 2：依存関係のインストール

Maven プロジェクトの pom.xml ファイルに次の依存関係を追加します。

<dependency>
    <groupId>com.aliyun</groupId>
    <artifactId>aliyun-cls-jdbc</artifactId>
    <version>1.0.10-1</version>
</dependency>

ステップ 3：データベース接続のための MEK の設定

MEK は、JDBC プロパティ、ファイル、または URL を使用して設定できます。JDBC を 2 つ以上の方法で設定する場合、優先順位は次のようになります：JDBC プロパティ設定 > ファイル設定 > URL 設定。

// エンドポイント (ホスト名)、ポート、データベースインスタンス名 (dbname)、ユーザー名、パスワードなどの接続情報を準備します。
String hostname = "your-hostname";
String port = "your-port";
String dbname = "your-database-name";
String username = "your-username";
String password = "your-password";

// カスタマーマスターキー。
String mek = "00112233445566778899aabbccddeeff"; 

Properties props = new Properties();
props.setProperty("user", username);
props.setProperty("password", password);
props.setProperty("MEK", mek);

// MySQL データベースの接続 URL フォーマットは "jdbc:mysql:encdb://%s:%s/%s" です。
String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);

// MySQL データベース用の EncJDBC ドライバーをロードします。
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");

// データベース接続を取得します。
Connection connection = DriverManager.getConnection(dbUrl, props);

// ... クエリを開始 ...

MEK=00112233445566778899aabbccddeeff

// エンドポイント (ホスト名)、ポート、データベースインスタンス名 (dbname)、ユーザー名、パスワードなどの接続情報を準備します。
String hostname = "your-hostname";
String port = "your-port";
String dbname = "your-database-name";
String username = "your-username";
String password = "your-password";

 // カスタマーマスターキー。
String mek = "00112233445566778899aabbccddeeff";

// MySQL データベースの接続 URL フォーマットは "jdbc:mysql:encdb://%s:%s/%s?MEK=%s" です。
String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s?MEK=%s", hostname, port, dbname, mek);

// MySQL データベース用の EncJDBC ドライバーをロードします。
Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");

// データベース接続を取得します。
Connection connection = DriverManager.getConnection(dbUrl, username, password);

// ... クエリを開始 ...

ステップ 4：暗号化された列からプレーンテキストデータをクエリする

データベースへの接続に成功した後、通常の JDBC クエリと同様にデータベース操作を実行できます。EncJDBC は暗号化された列を自動的に復号し、プレーンテキストデータを返します。

例

// クエリ文を作成します。
Statement statement = connection.createStatement();
ResultSet resultSet = statement.executeQuery("SELECT * FROM your_table_name");

// 結果セットを走査します。
while (resultSet.next()) {
    for (int i = 0; i < resultSet.getMetaData().getColumnCount(); i++) {
        System.out.print(resultSet.getString(i + 1));
        System.out.print("\t");
    }
    System.out.print("\n");
}

付録：完全なコード例

import java.sql.*;
import java.util.Properties;

public class EncryptedColumnAccess {
    public static void main(String[] args) throws ClassNotFoundException, SQLException {
        // 以下の接続情報を、エンドポイント (ホスト名)、ポート、データベースインスタンス名 (dbname)、ユーザー名、パスワードなど、ご利用のインスタンスの詳細に更新してください。
        String hostname = "your-hostname";
        String port = "your-port";
        String dbname = "your-database-name";
        String username = "your-username";
        String password = "your-password";
        
        // これは単なる例です。より複雑なキーを使用してください。
        String mek="00112233445566778899aabbccddeeff";

        Properties props = new Properties();
        props.setProperty("user", username);
        props.setProperty("password", password);
        props.setProperty("MEK", mek);
        
        // MySQL データベースの接続 URL フォーマットは "jdbc:mysql:encdb://%s:%s/%s" です。
        String dbUrl = String.format("jdbc:mysql:encdb://%s:%s/%s", hostname, port, dbname);

        // EncJDBC ドライバーをロードします。
        Class.forName("com.aliyun.encdb.mysql.jdbc.EncDriver");

        // データベース接続を取得します。
        Connection connection = DriverManager.getConnection(dbUrl, props);

        // クエリを開始します。
        try {
            // クエリ文を作成します。
            Statement statement = connection.createStatement();
            ResultSet resultSet = statement.executeQuery("SELECT * FROM users");

            // 結果セットを走査します。
            while (resultSet.next()) {
                int id = resultSet.getInt("id");
                String name = resultSet.getString("username");
                String phone = resultSet.getString("phone");

                // テーブルスキーマに基づいて他のフィールドを処理します。
                System.out.println("ID: " + id + ", Name: " + name + ", Phone: " + phone);
            }

            // リソースを閉じます。
            resultSet.close();
            statement.close();
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}