列暗号化の概要

列暗号化機能は、OceanBaseデータベースが提供するデータ保護メカニズムであり、結果を返す際に暗号化ルールに基づいて暗号文を返すことで、データベースに保存された機密データを保護します。MySQLおよびOracleテナントモードをサポートしています。本記事では、列暗号化機能とその原理について説明し、例を示します。

動作原理

データベース管理者、またはユーザーレベルのCREATE SENSITIVE RULE権限を持つユーザーは、既存のテーブルに対して列レベルの機密データ保護ルールを作成できます。ある列Aがデータ保護ルールRで保護列として指定されている場合、ユーザーがSELECT操作を実行し、投影された列にA列が含まれているとき、データベースはユーザーがそのルールRに対する平文アクセス権限を持っているかどうかをチェックします。

• ユーザーがルールRの平文アクセス権限を持っている場合：A列を含む投影式は通常通り平文の結果を返します。

• ユーザーがルールRの平文アクセス権限を持っていない場合：A列を含む投影式は、ルールの記述に従って暗号化された後、ユーザーに返されます。

データ保護ルール

CREATE SENSITIVE RULE構文を使用して機密ルールを作成します。構文は以下のとおりです：

CREATE SENSITIVE RULE <rule_name> 
ON <sensitive_field_list>
USING ENCRYPTION [ = <encryption_method>];

具体的な説明は以下のとおりです：

• データ保護ルール：現在サポートされているデータ保護ルールはENCRYPTIONタイプです。ルール作成時に暗号化アルゴリズムを指定できます。
• ルールの範囲：各ルールで1つまたは複数の列を指定して保護でき、データベースやテーブルをまたいだ保護も可能です。1つの列は最大でも1つのデータ保護ルールによってのみ保護されます。
• 権限要件：ルールを作成するユーザーは、ユーザーレベルのCREATE SENSITIVE RULE権限と、これらの列に対する完全なアクセス権限（SELECT、INSERT、UPDATE、REFERENCES権限を含む）を同時に持っている必要があります。注意：ルールを作成したユーザーは、そのルールに対する平文アクセス権限を自動的に取得するわけではなく、別途権限付与が必要です。

権限メカニズム

• ユーザーレベルの平文アクセス権限：ユーザーがユーザーレベルの平文アクセス権限を持っている場合、そのユーザーはデータ保護ルールの影響を受けず、平文データにアクセスできます。
• ルールレベルの平文アクセス権限：ユーザーが特定のルールに対する平文アクセス権限を持っている場合、そのユーザーはそのルールの影響を受けず、そのルールで保護されたデータに平文でアクセスできます。
• 権限のないユーザー：ユーザーがユーザーレベルの平文アクセス権限も、特定のルールに対する平文アクセス権限も持っていない場合、そのユーザーがそのルールで保護された列をクエリすると、暗号化されたデータしか表示されません。

関数暗号化との違い

ENHANCED_AES_ENCRYPT 関数は、OceanBaseデータベースにおけるAES暗号化方式の一つです。

関連ドキュメント

• 列暗号化ルールの作成（MySQLモード）
• 列暗号化ルールの作成（Oracleモード）
• 列暗号化権限管理（MySQLモード）
• 列暗号化権限管理（Oracleモード）