概述--大数据研发治理套件-火山引擎

文档中心

立即注册

导航

概述

最近更新时间：2025.02.18 17:27:28首次发布时间：2021.10.22 11:37:25

数据安全为 DataLeap 用户提供数据权限的控制、数据保护等面向数据安全生命周期全过程的安全能力，保障大数据资产安全。
在本平台，您可以便捷地完成对资源的申请、审批、分类分级等管理工作，其核心功能如下：

数据权限管理
提供精细化的数据权限申请、权限审批、权限审计等功能，实现了权限最小化管控，同时方便您查看权限审批流程各环节的进展，及时跟进处理流程，详情可参见权限管理、审批工单、权限审计。
数据内容安全管理
提供数据行为审计、分级分类、数据保护等功能，能够快速及时识别存在安全隐患的数据，最大限度地减少未经授权的数据使用、泄露与滥用的风险，从而保障数据内容的安全可靠，详情可参见行为审计、安全标签、数据保护。

1 约束限制

子账号需具备 ByteHouseCEStandardAccess 权限后，才可在数据安全侧管理 ByteHouseCE 数据权限。子账号授权激活需执行以下操作：
1. 主账号在访问控制台给子账号授予 ByteHouseCEStandardAccess 权限。
2. 该子账号登录一次 ByteHouse CE 控制台。
建议主账号不要授予子账号以下权限，否则该子账号会绕过 DataLeap-数据安全拥有相应数据类型的超级权限。
- ByteHouseCE：ByteHouseCEFullAccess 策略，system_admin 或 cluster_admin 角色。
- ByteHouse CDW：ByteHouseFullAccess 策略，AccountAdmin 或 SystemAdmin 角色。
- EMR Hive：在 EMR 引擎侧 Ranger 上授予子账号相应集群的 all - database, table, column 权限。访问 Ranger UI 的相关说明可参见 Ranger 概述。

2 基本概念

名称	说明
数据源	指数据源的类型，目前数据安全已支持数据源类型 LAS、EMR Hive、EMR StarRocks、ByteHouse CDW、ByteHouseCE 等。
资源类型	大数据安全场景下的资源存在数据库、数据表、行限制、数据列、资源包等几类资源。行限制若存在以下情况，管理者可在产品上设置行限制。数据表较大（例如流量等大宽表），整表授权风险极高。希望申请者能够按照一定的条件访问数据表。希望各个业务方能自己进行审批、回收等权限管理。数据列包括敏感列、普通列、加密列三种类型，其中所有字段列初始状态均为普通列，通过权限设置可将其设置为敏感列，通过数据加密可将其设置为加密列。敏感列若表中存在几列十分敏感的数据（如 idcard、phone 等），需要用户单独进行申请，同时可以按列进行回收与授权精细化管理，此时管理者可在产品上设置敏感列。设置时，可选择原本表的获权方是否需要申请敏感列权限。普通列未设置为敏感列或加密列的数据列，无需单独申请访问权限。加密列通过数据加密任务进行加密的表字段，需要单独申请加密列权限，才可访问解密数据，否则访问时仅可查看密文。资源包一个数据库内的多个资源可以打包成一个或多个资源包，申请资源包通过后可获得该包内的所有数据权限。
保密级别	使用的数据可以定义为不同的保密级别，从L1到L4数据的保密性是递增的，即L1的保密级别最低，L4的保密级别最高。
权限审计	为保障授权的合理性以及规避潜在的数据安全风险，权限负责人和超管均可通过权限审计功能，对申请授权和主动授权的工单进行定期审计。
分类分级	是数据安全精细化管理的重要基础，精准完善的分类分级能够为安全策略做支持。通过对数据的分类分级，识别数据对组织的具体价值，确定以何种适当的策略，保护数据的完整性、保密性和可用性。
数据加密	通过可视化静态加密任务来完成对表字段的加密，实现对敏感数据的保护。
数据解密	通过可视化静态解密任务来实现对加密数据的解密。
数据脱敏	通过可视化静态脱敏任务来实现敏感数据的脱敏处理。通过数据脱敏处理，原始数据的真实信息被隐藏或篡改，从而防止未经授权的用户获取敏感信息的真实值。

3 基础角色

在数据安全场景下，根据用户所具备能力及获取权限方式的不同，可以将资源用户分为生产者和管理者两种角色。

生产者：是指库管理员、表负责人，可以设置资源信息、管理资源权限，默认不参与资源申请的审批。
管理者：是指权限负责人，对资源安全负责，既参与审批也可设置审批流程，还可以对负责的资源进行权限管理。
- 不同资源层级可细分为不同的权限负责人，包括库权限负责人、表权限负责人、行权限负责人和列权限负责人。
- 权限负责人可以管理自身资源，以及更低层级资源。例如，某数据库的库权限负责人既可以管理该数据库，也可以管理该库下的表、行、列。

不同角色所具备的能力如下表所示。

能力分类	生产者（库管理员、表负责人）	管理者（库/表/行/列权限负责人）
管理能力（授权/回收/设置密级等）	支持	支持
设置或移交权限负责人角色	支持，同时支持修改设置较低层级资源的权限负责人。	支持，同时支持修改设置较低层级资源的权限负责人。
资源赋权方式	默认赋权，可更改设置。	需单独申请或主动授权。
权限审批	不支持，后续可配置。	支持

说明

若将生产者设置为权限负责人，则生产者即为管理者，同时具备了参与审批的能力。
设置审批流程时，可以将生产者添加为审批人。

4 权限申请类型

4.1 主要流程

库、表、行、列均作为单独的资源实体，支持申请类型如下：

整库权限申请
整表权限申请
行限制申请
列申请

注意

整表权限包含行限制权限，申请行限制时，既可申请整表权限也可按行申请。
整表权限不包含敏感列和加密列权限，必须申请相应列权限后，才能使用其信息。

4.2 整库权限申请

为避免频繁申请数据表，DataLeap 数据安全支持设置整库粒度的申请，且可设置是否开放该申请。

4.3 整表权限申请

整表权限申请是最常用的使用场景。为避免频繁申请行数据，DataLeap 数据安全支持设置整表粒度的申请，且可设置是否开放该申请。
根据管理者对权限的具体设置，会出现表设置了行限制或敏感列的情况，可单独进行申请。

4.4 行限制申请

若表设置了行限制，可按需申请行限制，支持按受控字段的枚举值进行申请，申请时可手动增加枚举值。
例如，管理者希望按照字段city来控制用户访问的范围，设置了行限制"city = Beijing"、"city = Shanghai"，并关闭了整表权限申请，则用户后续只能按照行限制"city = Beijing"、"city = Shanghai"申请权限。申请后，可访问符合一定过滤条件的数据，如where city = 'Beijing'，详细示例可参见示例详解部分。

4.5 列申请

若表设置了敏感列或加密列，可按需申请敏感列或加密列。
例如，管理者设置了敏感列"city"，则用户必须申请敏感列"city"的权限后，才能访问“city”列的数据，详细示例可参见示例详解部分。

4.6 示例详解

张先生有一张数据表，信息如下，他设置了行限制"sex=F"、敏感列"city"。

name	age	sex	city(敏感列)
zhangsan	71	F	Beijing
lisi	58	M	Guangzhou
wangwu	61	M	Beijing
zhaoliu	46	F	Tianjin
sunqi	64	M	Shanghai

张先生申请不同权限后，可访问的范围各有不同。

申请整表权限：可以查询敏感列以外的所有数据。
name
age
sex
zhangsan
71
F
lisi
58
M
wangwu
61
M
zhaoliu
46
F
sunqi
64
M
SQL查询语句示例如下。
- 正确示例
```
select name,age,sex from db.table
```
- 无权访问的示例
```
select name,city from db.table  /无敏感列权限
```
申请整表权限 + 敏感列"city" ：可以自由访问该表所有数据，SQL查询语句示例如下。
```
select * from db.table
```
```
select name,city from db.table
```

申请行限制"sex=F"：可查看不包括敏感列在内的所有"sex=F"的数据。

name	age	sex
zhangsan	71	F
zhaoliu	46	F

SQL查询语句示例如下。

正确示例

select name,age,sex from db.table where sex = 'F'

无权访问的示例

select name,city from db.table where sex = 'F' /无敏感列权限

select * from db.table   /无整表和敏感列的权限

select name,age,sex from db.table  /无整表的权限

申请行限制"sex=F" + 敏感列"city"：可查看所有"sex=F"的数据。

name	age	sex	city(敏感列)
zhangsan	71	F	Beijing
zhaoliu	46	F	Tianjin

SQL查询语句示例如下。

正确示例

select * from db.table where sex = 'F'

select name,sex,city from db.table where sex = 'F'

无权访问的示例

select * from db.table  /张先生无整表的权限，必须在SQL语句中指定WHERE从句

select name,sex from db.table  /没有整表的权限，必须在SQL语句中指定WHERE从句