Hologres：查詢MaxCompute加密資料

開啟方式

您可以根據具體的使用情境選擇合適的開啟方式。

• SESSION層級

  -- SESSION層級開啟，需要和查詢/DML一起執行
  SET hg_experimental_external_catalog_routing = 'odps:common_table,dlf:hqe';

• 資料庫層級

  -- 資料庫層級開啟
  ALTER DATABASE <database name> SET hg_experimental_external_catalog_routing = 'odps:common_table,dlf:hqe';

• 執行個體層級

  -- 執行個體層級開啟
  ALTER ROLE ALL SET hg_experimental_external_catalog_routing = 'odps:common_table,dlf:hqe';

使用限制

• 僅Hologres V1.1及以上版本支援使用外部表格查詢MaxCompute的加密資料。

  說明

  如果您的執行個體是V1.1以下版本，請您參見執行個體升級或加入線上支援DingTalk群申請升級執行個體。

• 查詢MaxCompute的加密資料時，如果您的執行個體版本低於V1.3.31需要添加後台配置。Hologres從V1.3.31版本開始無需添加後台配置，如需使用該功能，建議您升級執行個體，詳情請參見執行個體升級。

• 僅支援查詢加密的MaxCompute資料，同時支援兩類密鑰材料，包括建立使用者主要金鑰CMK時由KMS產生的密鑰材料以及使用者匯入的密鑰材料。對於使用DataWorks Default Key方式加密的MaxCompute的加密資料無法查詢。

• 查詢資料時，Hologres會調用KMS的API擷取相關的密鑰資訊，擷取相關的密鑰資訊系統預設會緩衝24小時。

操作步驟

1. 建立自訂權限原則

   1. 登入RAM控制台，單擊左側導覽列的權限原則，進入權限原則頁面，單擊建立權限原則。

      

   2. 進入建立權限原則頁面，單擊指令碼編輯配置指令碼如下所示且名稱命名為AliyunHologresEncryptionDefaultRolePolicy。

      

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:GenerateDataKey",
                      "kms:DescribeKey"
                  ],
                  "Resource": "acs:kms:*:*:*/*",
                  "Effect": "Allow"
              }
          ]
      }

   3. 單擊確定，完成自訂權限原則的建立。

2. 建立Hologres代理角色並授權

   1. 登入RAM控制台，單擊左側導覽列的角色。

   2. 進入角色頁面，單擊建立角色，進入建立角色對話方塊，選擇信任主體類型為雲端服務，信任主體名稱為即時數倉Hologres。

   3. 單擊確認，角色名稱命名為AliyunHologresEncryptionDefaultRole。

   4. 進入建立完成頁面，單擊新增授權。

   5. 進入新增授權頁面，資源範圍選擇賬戶層級，策略許可權為自訂策略中第一步建立的自訂角色策略（AliyunHologresEncryptionDefaultRolePolicy）。

      

   6. 單擊確定，完成角色建立和授權操作。

      在建立完角色後，單擊建立的角色，在信任策略管理頁簽，可以查看信任策略的設定。

3. 修改資料庫層級配置

   由於HQE暫時不支援訪問MaxCompute的儲存加密的資料，所以需要使用如下SQL命令將外部表格的執行引擎修改為SQE。

   ALTER DATABASE <dbname> SET hg_experimental_enable_access_odps_orc_via_holo = false;

   以上配置需要重新建立串連才會生效。您可以使用如下SQL命令查看使用SQE查詢外部表格的配置是否生效，如果顯示為false，表示配置生效。

   SHOW hg_experimental_enable_access_odps_orc_via_holo;

4. 查詢資料

   完成以上操作後，您便可以同使用Hologres的外部表格查詢MaxCompute的普通資料一樣查詢加密資料，詳情請參見基於Foreign Table加速查詢MaxCompute資料。