本文导读

enable_security_policy
use_elastic_search
elastic_search_ip_addr
is_sysadmin
tde_index_default_encrypt
block_encryption_mode
enable_mac_check
enable_rls_match_index
restrict_nonsystem_relation_kind
tde_dkcache_remain_time

展开导读

文档首页/ 云数据库 GaussDB/ 开发指南（分布式_V2.0-8.x）/ 配置运行参数/ GUC参数说明/ 安全配置

安全配置

更新时间：2025-05-29 GMT+08:00

查看PDF

enable_security_policy

参数说明：安全策略开关，控制统一审计和动态数据脱敏策略是否生效。

说明：

统一审计：统一审计机制是一种通过定制化制定审计策略而实现高效安全审计管理的一种技术。当管理员定义审计对象和审计行为后，用户执行的任务如果关联到对应的审计策略，则生成对应的审计行为，并记录审计日志。详情请参见《特性描述》文档中的“数据库安全 > 统一审计机制”。
动态数据脱敏：动态数据脱敏机制是一种通过定制化制定脱敏策略从而实现对隐私数据保护的一种技术，可以有效地在保留原始数据的前提下解决非授权用户对敏感信息的访问问题。详情请参见《特性描述》文档中的“数据库安全 > 动态数据脱敏机制”。

参数类型：布尔型

参数单位：无

取值范围：

on：安全策略开关打开。
off：安全策略开关关闭。

默认值：off

设置方式：该参数属于SIGHUP类型参数，请参见表1中对应设置方法进行设置。

设置建议：推荐使用默认值。

设置不当的风险与影响：需要使用安全策略时设置为on，会占用系统资源，对系统性能产生影响。

use_elastic_search

参数说明：统一审计发送日志至Elastic Search系统，enable_security_policy打开且本参数打开后，统一审计日志会通过http（https）传递至Elastic Search系统（默认使用https安全协议）。

参数类型：布尔型

参数单位：无

取值范围：

on：开启统一审计日志发送至Elastic Search。
off：关闭统一审计日志发送至Elastic Search。

默认值：off

设置方式：该参数属于POSTMASTER类型参数，请参考表1中对应设置方法进行设置。

设置建议：推荐使用默认值，需要将统一审计日志发送至Elastic Search系统时开启。

设置不当的风险与影响：此参数打开后需要保证elastic_search_ip_addr对应的es服务可正常连通，否则进程启动失败。

elastic_search_ip_addr

参数说明：Elastic Search系统IP地址，使用https协议格式为：https://ip:port:username；使用http协议格式为：http://ip:port。其中，ip为Elastic Search服务器的IP，port为Elastic Search HTTP通信的侦听端口，范围为9200 - 9299，username为用户在Elastic Search注册账号所使用的用户名，初始用户为elastic。使用https协议需要配置相关证书，详见《安全加固指南》中“统一审计“章节。

参数类型：字符串

参数单位：无

取值范围：合法IP字符串或空字符串。

默认值：""

设置方式：该参数属于POSTMASTER类型参数，请参考表1中对应设置方法进行设置。

设置建议：推荐使用默认值，需要将统一审计日志发送至Elastic Search系统时且use_elastic_search为on时设置。

设置不当的风险与影响：需要保证该参数取值对应的es服务可正常连通，否则进程启动会失败。

is_sysadmin

参数说明：表示当前用户是否是初始用户。

参数类型：布尔型

参数单位：无

取值范围：

on：表示是初始用户。
off：表示不是初始用户。

默认值：off

设置方式：该参数属于INTERNAL类型参数，为固定参数，用户无法修改此参数，只能查看。

设置建议：该参数不允许用户进行设置，只能查看。

设置不当的风险与影响：无

tde_index_default_encrypt

参数说明：创建索引时，如果开启本参数，并且索引的基表是加密表，则数据库会自动将索引设置为加密索引，并自动为索引复制基表的加密算法、密钥等加密参数，对索引中的数据先加密再存储。

参数类型：布尔型

参数单位：无

取值范围：

on：自动对加密表的索引设置加密参数。
off：不自动对加密表的索引设置加密参数。

默认值：off

设置方式：该参数属于SIGHUP类型参数，请参考表1中对应设置方法进行设置。

设置建议：如果所有加密表的索引都需要被加密，可开启该参数，无需手动将索引设置为加密索引。

设置不当的风险与影响：如果将参数设置为on，在加密表上创建的索引将被自动加密，影响查询索引的性能。

block_encryption_mode

参数说明：aes_encrypt和aes_decrypt函数进行加解密时使用的块加密模式。

参数类型：枚举类型

参数单位：无

取值范围：有效值有aes-128-cbc、aes-192-cbc、aes-256-cbc、aes-128-cfb1、aes-192-cfb1、aes-256-cfb1、aes-128-cfb8、aes-192-cfb8、aes-256-cfb8、aes-128-cfb128、aes-192-cfb128、aes-256-cfb128、aes-128-ofb、aes-192-ofb、aes-256-ofb。其中aes表示加/解密算法，128/192/256表示密钥长度（单位：bit），cbc/cfb1/cfb8/cfb128/ofb表示块加/解密模式。

默认值：aes-128-cbc

设置方式：该参数属于USERSET类型参数，请参考表1中对应设置方法进行设置。

设置建议：推荐使用默认值，可以根据实际业务需要进行调整。

设置不当的风险与影响：影响aes_encrypt和aes_decrypt函数的使用。

enable_mac_check

参数说明：表示基于标签的强制访问控制是否生效。

参数类型：布尔型

参数单位：无

取值范围：

on：表示基于标签的强制访问控制生效。
off：表示基于标签的强制访问控制不生效。

默认值：off

设置方式：该参数属于SIGHUP类型参数，请参考表1中对应设置方法进行设置。

设置建议：推荐使用默认值，可以根据实际业务需要进行调整。

设置不当的风险与影响：请在充分理解参数含义，并经过测试验证后进行修改。

enable_rls_match_index

参数说明：控制是否支持在行级访问控制特性使用场景中，基于目标谓词条件对基表执行索引扫描。目标场景为：基表设置并开启了RLS（Row Level Security）策略，查询谓词中包含unleakproof类型系统函数或like操作符。

参数类型：布尔型

参数单位：无

取值范围：

on：支持目标场景下的基表索引扫描。
off：不支持目标场景下的基表索引扫描。

默认值：off

设置方式：该参数属于SIGHUP类型参数，请参见表1中对应设置方法进行设置。

设置建议：推荐使用默认值。若业务热点查询语句为目标场景，且基表行级访问策略数量较少，可打开该开关以显著提升查询性能。

设置不当的风险与影响：此参数设置为on，在位图扫描算子切换为lossy模式且RLS策略数目较多时，会导致过滤谓词重复执行，影响性能。

说明：

该参数的修改，会影响目标场景下执行计划的生成，可通过重连、创建操作符等方式手动使缓存计划失效。
该参数开启后，会影响到位图扫描算子的生成，RLS策略谓词将被插入到Recheck过滤条件中；因此，在该算子切换为lossy模式且RLS策略数目较多时，会对性能产生一定影响。

restrict_nonsystem_relation_kind

参数说明：控制是否能访问用户创建的关系对象类型。

参数类型：字符串

参数单位：无

取值范围：

""：表示不进行任何限制。
"view"：表示禁用对用户创建的视图进行访问。
"foreign-table"：表示禁用对用户创建的外表进行访问。

默认值：""

设置方式：该参数属于USERSET类型参数，请参考表1中对应设置方法进行设置。

设置建议：设置为默认值。

设置不当的风险与影响：请在充分理解参数含义，并经过测试验证后进行修改。

说明：

在gs_dump执行导出的过程中，为防止恶意攻击，需要禁用访问用户创建的视图和外表，工具会将此参数的值会话级设置为'view, foreign-table'，无需用户手动配置。

tde_dkcache_remain_time

参数说明：用于设置透明加密数据密钥缓存有效时长。

参数类型：整型

参数单位：h（时）

取值范围：0 ~ 1440

默认值：1

设置方式：该参数属于SIGHUP类型参数，请参见表1中对应设置方法进行设置。

设置建议：建议设置为默认值，不做调整。

设置不当的风险与影响：设置为0或过大值可能导致数据库内存中长期驻留不被使用的透明加密数据密钥缓存。

说明：

该参数设置为零值，则透明加密数据密钥缓存永久生效，不会从内存中清理。
该参数设置为非零值，则透明加密数据密钥缓存仅在超过tde_dkcache_remain_time小时未被使用时，才会从内存中清理（每小时周期性清理）。

父主题： GUC参数说明

上一篇：黑匣子相关参数

下一篇：HyperLogLog

意见反馈

文档内容是否对您有帮助？

有帮助没帮助

提供反馈

提交成功！非常感谢您的反馈，我们会继续努力做到更好！

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

直接提交取消

安全配置

enable_security_policy

use_elastic_search

elastic_search_ip_addr

is_sysadmin

tde_index_default_encrypt

block_encryption_mode

enable_mac_check

enable_rls_match_index

restrict_nonsystem_relation_kind

tde_dkcache_remain_time

意见反馈

文档内容是否对您有帮助？

文档反馈