安全配置
enable_security_policy
统一审计：统一审计机制是一种通过定制化制定审计策略而实现高效安全审计管理的一种技术。当管理员定义审计对象和审计行为后，用户执行的任务如果关联到对应的审计策略，则生成对应的审计行为，并记录审计日志。详情请参见《特性描述》文档中的“数据库安全 > 统一审计机制”。
动态数据脱敏：动态数据脱敏机制是一种通过定制化制定脱敏策略从而实现对隐私数据保护的一种技术，可以有效地在保留原始数据的前提下解决非授权用户对敏感信息的访问问题。详情请参见《特性描述》文档中的“数据库安全 > 动态数据脱敏机制”。
参数类型：布尔型
参数单位：无
取值范围：
on：安全策略开关打开。
off：安全策略开关关闭。
默认值：off
设置方式：该参数属于SIGHUP类型参数，请参见表1中对应设置方法进行设置。
设置建议：设置为默认值。需要使用安全策略时设置为on，会占用系统资源，对系统性能产生影响。
use_elastic_search
参数说明：使能统一审计发送日志至Elastic Search系统, enable_security_policy打开且本参数打开后，统一审计日志会通过http(https)传递至Elastic Search系统（默认使用https安全协议）。此参数打开后需要保证elastic_search_ip_addr对应的es服务可正常连通，否则进程启动失败。
该参数属于POSTMASTER类型参数，请参考表1中对应设置方法进行设置。
取值范围：布尔型。
on：使能统一审计日志发送至Elastic Search。
off：关闭统一审计日志发送至Elastic Search。
默认值：off
elastic_search_ip_addr
参数说明：Elastic Search系统IP地址 ，使用https协议格式为：https://ip:port:username；使用http协议格式为：http://ip:port。其中，ip为Elastic Search服务器的IP，port为Elastic Search HTTP通信的侦听端口，范围为9200 - 9299，username为用户在Elastic Search注册账号所使用的用户名，初始用户为elastic。使用https协议需要配置相关证书，详见《安全加固指南》中“统一审计“章节。
该参数属于POSTMASTER类型参数，请参考表1中对应设置方法进行设置。
取值范围：字符串。
默认值：''
is_sysadmin
参数说明：表示当前用户是否是初始用户。
该参数属于INTERNAL类型参数，为固定参数，用户无法修改此参数，只能查看。
取值范围：布尔型。
on表示是初始用户。
off表示不是初始用户。
默认值：off
enable_tde
参数说明：透明数据加密功能开关。创建加密表前需要将此参数置为on，并且通过tde_key_info参数配置密钥信息。
该参数属于POSTMASTER类型参数，请参考表1中对应设置方法进行设置。
取值范围：布尔型。
on：开启透明数据加密功能。
off：关闭透明数据加密功能。
默认值：off
- 设置此参数为on，需要保证tde_key_info参数中密钥信息配置正确，并且密钥服务可以正常访问，否则会导致数据库无法正常启动。
- 设置此参数为on并且创建了加密表后，如果再将此参数设置为off会导致已有加密表的数据无法进行加解密，从而导致数据库异常。
tde_key_info
参数说明：如开启透明加密开关，透明数据运行时需访问外部密钥服务实现密钥管理，该参数配置用于访问密钥服务的相关信息，如服务地址、身份认证信息、项目信息等。
该参数属于SIGHUP类型参数，请参考表1中对应设置方法进行设置。
取值范围：字符串。请参考《管理员指南》的“安全管理 > 设置透明数据加密”章节进行设置。
默认值：“”
tde_index_default_encrypt
参数说明：创建索引时，如果开启本参数，并且索引的基表是加密表，则数据库自动将索引设置为加密索引，并自动为索引复制基表的加密算法、密钥等加密参数，对索引中的数据先加密再存储。
参数类型：布尔型
参数单位：无
取值范围：
on：自动对加密表的索引设置加密参数。
off：不自动对加密表的索引设置加密参数。
默认值：off
设置方式：该参数属于SIGHUP类型参数，请参考表1中对应设置方法进行设置。
设置建议：建议设置为默认值。
block_encryption_mode
参数说明：aes_encrypt和aes_decrypt函数进行加解密时使用的块加密模式。
该参数属于USERSET类型参数，请参考表1中对应设置方法进行设置。
取值范围：枚举类型，有效值为aes-128-cbc，aes-192-cbc，aes-256-cbc，aes-128-cfb1，aes-192-cfb1，aes-256-cfb1，aes-128-cfb8，aes-192-cfb8，aes-256-cfb8，aes-128-cfb128，aes-192-cfb128，aes-256-cfb128，aes-128-ofb，aes-192-ofb，aes-256-ofb。其中aes表示加/解密算法，128/192/256表示密钥长度（单位：bit），cbc/cfb1/cfb8/cfb128/ofb表示块加/解密模式。
默认值：aes-128-cbc
enable_mac_check
参数说明：表示基于标签的强制访问控制是否生效。
该参数属于SIGHUP类型参数，请参考表1中对应设置方法进行设置。
取值范围：布尔型。
on表示基于标签的强制访问控制生效。
off表示基于标签的强制访问控制不生效。
默认值：off
enable_rls_match_index
参数说明：控制是否支持在行级访问控制特性使用场景中，基于目标谓词条件对基表执行索引扫描。目标场景为：基表设置并开启了RLS（Row Level Security）策略，查询谓词中包含unleakproof类型系统函数或like操作符。
取值范围：布尔型。
on：支持目标场景下的基表索引扫描。
off：不支持目标场景下的基表索引扫描。
默认值：off
设置方式：该参数属于SIGHUP类型参数，请参见表1中对应设置方法进行设置。
设置建议：设置为默认值。若业务热点查询语句为目标场景，且基表行级访问策略数量较少，可打开该开关以显著提升查询性能。
- 该参数的修改，会影响目标场景下执行计划的生成，可通过重连、创建操作符等方式手动使缓存计划失效。
- 该参数开启后，会影响到位图扫描算子的生成，RLS策略谓词将被插入到Recheck过滤条件中；因此，在该算子切换为lossy模式且RLS策略数目较多时，会对性能产生一定影响。
