密态等值查询概述

加密模型

全密态数据库使用多级加密模型，不同加密场景中密钥的功能如下：

• 数据：密态数据库对SQL语句中属于加密列的数据进行加密，对数据库服务端返回的属于加密列的查询结果进行解密。
• 列密钥：数据由列密钥进行加密，而列密钥由主密钥加密。列密钥密文存储在数据库服务端。
• 主密钥：由外部密钥管理生成并存储，数据库驱动会自动访问外部密钥管理，以实现对列密钥进行加解密。

整体流程

在使用全密态数据库的过程中，主要流程包括如下五个阶段，本节介绍整体流程，使用gsql操作密态数据库、使用JDBC操作密态数据库章节介绍详细使用流程。

1. 准备阶段：首先，用户需在外部密钥管理中生成主密钥。外部密钥管理包括华为云密钥服务，根据使用场景选择其中一种。
2. 配置阶段：在应用中，通过环境变量或数据库驱动参数设置访问外部密钥管理的信息，在后续操作中，数据库驱动需使用本阶段的配置信息访问外部密钥管理。
3. 执行DDL阶段：在本阶段，用户需先使用密态数据库的密钥语法定义主密钥和列密钥，然后定义表并指定表中某列为加密列。
4. 执行DML阶段：在创建加密表后，用户可直接执行包含但不限于INSERT、SELECT、UPDATE、DELETE等语法，数据库驱动会自动根据上一阶段的加密定义自动对加密列中的数据进行加解密。
5. 清理阶段：依次删除加密表、列密钥和主密钥。

准备阶段

首次使用密态数据库需要执行准备阶段步骤，后续跳过该阶段即可。

密态数据库支持使用不同的外部密钥来管理主密钥，根据场景选择其中一种即可。

• 华为云场景
  1. 用户需先在打开华为云官网，注册账号，登录账号。
  2. 在华为云中搜索“统一身份认证服务”，进入该服务，如图所示选择“用户”功能，并创建一个IAM用户，为IAM用户设置IAM密码，并为新的IAM用户设置使用“数据加密服务”的权限。

     

  3. 接下来，请重新回到登录页面，登录方式选择为“IAM用户”，使用新创建的IAM用户进行登录。后续操作均由该IAM用户完成。
  4. 在华为云中搜索“数据加密服务”，进入该服务，如下图所示，选择“密钥管理”功能，并通过“创建密钥”按钮创建密钥，密钥创建成功后，可看到每个密钥都具有1个密钥ID。请记住该密钥ID，在后续执行DDL阶段中创建主密钥语法时，需使用该密钥ID。

     

  5. 本步生成的密钥即密态数据库中使用的主密钥，该密钥将由华为云密钥管理服务存储。以后执行与加解密相关的SQL语句时，数据库驱动会通过华为云的restful接口自动访问该密钥。

配置阶段

配置访问外部密钥的参数

• 华为云场景
  通过环境变量配置如下信息：

  [terminal] # export HUAWEI_KMS_INFO='iamUrl=https://iam.{项目}.myhuaweicloud.com/v3/auth/tokens, iamUser={IAM用户名}, iamPassword={IAM用户密钥}, iamDomain={账号名}, kmsProject={项目}'

  在华为云控制台中，点击右上角用户名，并进入“我的凭证”，可看到下图所示页面，该页面可获取上述所需参数：项目、IAM用户名、账号名。另外，请记住本页面的项目ID，在后续执行DDL阶段中创建主密钥语法时，需使用该项目ID。

  图1 华为云参数获取页面
  

  # 示例
  [terminal] # export HUAWEI_KMS_INFO='iamUrl=https://iam.cn-north-4.myhuaweicloud.com/v3/auth/tokens, iamUser=test_user, iamPassword=**********, iamDomain=test_account, kmsProject=cn-north-4'