列暗号化の概要

列暗号化機能は、OceanBaseデータベースが提供するデータ保護メカニズムであり、結果を返す際に暗号化ルールに従って暗号文を返すことで、データベースに保存される機密データを保護します。MySQLおよびOracleテナントモードをサポートしています。本記事では、列暗号化機能とその原理について説明し、例を示します。

動作原理

データベース管理者またはユーザーレベルの CREATE SENSITIVE RULE 権限を持つユーザーは、既存のテーブルに対して列レベルの機密データ保護ルールを作成できます。ある列 A がデータ保護ルール R で保護列として指定されている場合、ユーザーが SELECT 操作を実行し、投影された列に A 列が含まれているとき、データベースはそのユーザーがルール R に対する平文アクセス権限を持っているかどうかをチェックします。

• ユーザーがルール R の平文アクセス権限を持っている場合：A 列を含む投影式は通常通り平文結果を返します。

• ユーザーがルール R の平文アクセス権限を持っていない場合：A 列を含む投影式は、ルールの記述に従って暗号化された後、ユーザーに返されます。

データ保護ルール

CREATE SENSITIVE RULE 構文を使用して機密ルールを作成します。構文は以下のとおりです：

CREATE SENSITIVE RULE <rule_name>
ON <sensitive_field_list>
USING ENCRYPTION [ = <encryption_method>];

詳細は以下のとおりです：

• データ保護ルール：現在サポートされているデータ保護ルールは ENCRYPTION タイプです。ルール作成時に暗号化アルゴリズムを指定できます。
• ルールの範囲：各ルールは1つ以上の列を指定して保護でき、データベース間やテーブル間での適用を許可します。1つの列は最大でも1つのデータ保護ルールによってのみ保護されます。
• 権限要件：ルールを作成するユーザーは、ユーザーレベルの CREATE SENSITIVE RULE 権限と、これらの列に対する完全なアクセス権限（SELECT、INSERT、UPDATE、REFERENCE 権限を含む）を同時に持っている必要があります。注意：ルールを作成したユーザーは、そのルールに対する平文アクセス権限を自動的に持つわけではありません。別途権限付与が必要です。

権限メカニズム

• ユーザーレベルの平文アクセス権限：ユーザーがユーザーレベルの平文アクセス権限を持っている場合、そのユーザーはデータ保護ルールの影響を受けず、平文データにアクセスできます。
• ルールレベルの平文アクセス権限：ユーザーが特定のルールに対する平文アクセス権限を持っている場合、そのユーザーはそのルールの影響を受けず、そのルールで保護されたデータに平文でアクセスできます。
• 権限のないユーザー：ユーザーがユーザーレベルの平文アクセス権限も、特定のルールに対する平文アクセス権限も持っていない場合、そのユーザーがそのルールで保護された列をクエリすると、暗号化されたデータのみが表示されます。

関数暗号化との違い

ENHANCED_AES_ENCRYPT 関数は、OceanBaseデータベースにおけるAES暗号化方式の一つです。

関連ドキュメント

• 列暗号化ルールの作成（MySQLモード）
• 列暗号化ルールの作成（Oracleモード）
• 列暗号化権限管理（MySQLモード）
• 列暗号化権限管理（Oracleモード）