数据脱敏策略配置举例
对于敏感数据访问时，通过脱敏展示来维护数据的安全防护。
添加自定义策略
- 使用系统管理员sysadmin账号登录数据库运维管理系统。
- 在左侧导航栏，选择，选择一个资产控制，单击“配置”按钮，浏览器新开一个页面。 图1 运维资产控制
- 选择，页面展示待审批列表。
- 单击“新增”，下拉选择“模糊匹配脱敏”策略类型，数据脱敏策略配置参数说明如表1所示。 图2 策略管理
表1 数据脱敏策略配置参数说明 参数
说明
基本信息
策略名称
此策略的名称。（必填）
策略模板
选择之前配置的策略模板，进行快速填写。
策略描述
此策略的使用场景、适用情况说明等
条件信息
运维用户
用于定义应用用户的防控范围。
运维角色
用户管理-系统角色功能定义的角色信息，每个用户可以属于一个或者多个角色。
组织机构
用户管理-组织机构功能定义的组织机构信息，每个用户可以属于一个组织机构。
数据库用户
用于定义数据库用户的防控范围。
客户端IP
用于定义IP地址的范围，通过IP地址不同的操作符，如：等于、包含、不包含等确定安全防控的范围。同样，支持IP模板的直接引用。
客户端工具
运维人员访问数据所使用的客户端工具名称，例如：WebSQL
影响时间段
当前规则生效的时间范围，选择开始时间-结束时间。
匹配信息
匹配内容
正则表达式，用于匹配SQL。
SCHEMA名
属于列脱敏。schema名的过滤条件，正则表达式。
表名
属于列脱敏。表名的过滤条件，正则表达式。
列名
属于列脱敏。列名的过滤条件，正则表达式。
数据域
属于列脱敏子项。满足条件的列，按照对应数据域规则进行脱敏。
响应动作
审计
配置是否审计以及告警，配置审计将会记录日志，可由审计管理员查看审计日志。
- 告警审计
- 审计
- 不审计
告警方式
当“审计”选择为“告警审计”时，显示此参数。
配置告警审计时，可选择告警邮箱（邮箱取自于当前受控资产库的数据专员），策略被触发时将会发送告警邮件到指定的邮箱中。
- 填写策略基本信息、条件信息、匹配信息（部分策略拥有匹配信息）、响应动作等信息。
基本信息包含策略名称、策略模板、策略描述，其中策略模板可选择已创建过的模板，用于快速填充策略信息。条件信息包含运维用户、运维角色、组织机构、数据库用户、客户端IP、客户端工具、影响时间段，各条件间可配置与或关系，实现灵活的条件控制。匹配信息包含匹配内容、列脱敏信息，其中匹配内容需要输入正则表达式，用于匹配SQL；列脱敏信息用于配置哪些列需要脱敏以及指定对应的脱敏规则。响应动作用于配置是否审计以及告警，配置审计将会记录日志，可由审计管理员查看审计日志；配置告警审计时，可选择告警邮箱（邮箱取自于当前受控资产库的数据专员），策略被触发时将会发送告警邮件到指定的邮箱中。
- 策略名称填写“NAME字段模糊匹配脱敏策略”。
- 运维用户名选择角色下的sysadmin。
- 匹配信息填写 .*(select).*(from).* 。
- 列脱敏设置SCHEMA名：.* ；表名：.* ；列名： .*name.* ；数据域选择“姓名”。
- 响应动作选择“审计”。 图3 匹配信息
- 单击“确定”。
使自定义策略生效
- 使用系统管理员sysadmin账号登录数据库运维管理系统。
- 在左侧导航栏，选择，选择一个资产控制，单击“配置”按钮，浏览器新开一个页面。
- 选择，页面展示待审批列表。
- 单击“启用”，提示“是否确定启用该规则”，单击“确定”。 图4 启用策略规则
验证配置效果
- 使用系统管理员sysadmin账号登录数据库运维管理系统。
- 随后使用运维堡垒机的WEB终端成功连接访问数据库。
- 使用安全客户端：在左侧导航栏，选择“运维堡垒机入口”，单击“一键登录”。系统浏览器新打开一个“运维堡垒机”的页签。
- 在运维堡垒机管理页面，选择刚添加的运维资产，单击WEB终端图标。
- 系统浏览器新打开一个“WebSQL”的页签，通过代理服务成功连接数据库。
- 双击下方区域的某一个表名，该表的查询语句会自动代填到右侧的SQL语句编辑区域。
- 单击“执行”按钮。 图5 WebSQL执行按钮位置
- 查询结果区域显示返回数据字段名称包含name的数据都被脱敏展示。
