ApsaraDB RDS:サポートされる機能

制限事項

• ステートメントを実行して、プレーンテキスト列と暗号文列の両方に対して同時に操作を実行することはできません。 例: SELECT * FROM table_name WHERE plaintext_col < ciphertext_col;

  説明

  上記のステートメントでは、table_nameはテーブル名、plainte_colはプレーンテキスト列、ciphertext_colは暗号文列を示します。

• 完全暗号化データベース機能は、マスター暗号化キー (MEK) の生成とバックアップには使用できません。 MEKを手動で作成する必要があります。 MEKを紛失すると、既存の暗号化データにアクセスできなくなります。 MEKをバックアップすることをお勧めします。

使用上の注意

完全暗号化データベース機能を使用するには、ApsaraDB RDS for PostgreSQLインスタンスのマイナーエンジンバージョンが20230830以降であることを確認する必要があります。

サポートされるデータ型と関連演算子

完全暗号化データベース機能は、次のデータ型を定義および提供します。 データ型および関連する演算子は、SQLクエリおよびトランザクションをサポートし、標準SQL構文と互換性があります。

サンプルSQL文:

CREATE TABLEの例 ( 
  account enc_int4, -- INTEGER型の平文データに対応するアカウント。
  name enc_text, -- TEXT型の平文データに対応する名前。
  balance enc_float4, -- REAL型の平文データに対応する口座残高。
  credit enc_float4, -- REALタイプの平文データに対応するアカウントのクレジットライン。
  quota real, -- 平文列。
  address enc_text, -- TEXT型の平文データに対応するアドレス。
  発言テキスト、-発言。
  PRIMARY KEY (account) -- 主キーとして使用されるアカウント列。
);

クエリ句

完全暗号化データベース機能は、一般的なデータベースクエリに必要な次の句をサポートします。

SELECT col1, col2
    FROM table_name
    WHERE ciphertext_col1 > ciphertext_col2 
    注文BY col1; 

SELECT col1, count(*)
    FROM table_name
    グループBY col1
    持っているcol1はNULLではない; 

SELECTアカウント 
    FROM table_name
    col1がNULLではない場合
例外
    アカウントを選択 
    FROM table_name
    WHERE ciphertext_col1 > ciphertext_col2
LIMIT 1; 

インデックス

完全暗号化データベース機能を使用すると、暗号化列にインデックスを作成してクエリを高速化できます。 例：

CREATE INDEXが存在しない場合は、table_nameにname_index_btreeを使用してbtree (name);
CREATE INDEXが存在しない場合name_index_hash on table_name USING hash (name); 

マルチユーザー権限付与

完全に暗号化されたデータベースでは、さまざまなユーザーの暗号文データが自動的に分離されます。 暗号文データの統合コンピューティングを実行するには、ビヘイビアコントロールリスト (BCL) を発行して、暗号文データに対するアクセス許可を付与します。 詳細については、「ApsaraDB RDS For PostgreSQLインスタンスのマルチユーザーデータに対するアクセス許可の付与」をご参照ください。

平文と暗号文の変換

完全暗号化データベース機能を使用すると、列の種類を変更できます。 プレーンテキストと暗号文の間で列タイプを変更できます。 詳細については、「平文と暗号文の変換」をご参照ください。