大数据研发治理套件（私有化）
大数据研发治理套件（私有化）
- 文档首页
大数据研发治理套件（私有化）数据安全概述
文档反馈
问问助手数据安全为 DataLeap 用户提供数据权限的控制、数据保护等面向数据安全生命周期全过程的安全能力，帮助用户解决大数据查询与生产过程中数据安全管控分散、权限管理繁琐、审计困难等问题，保障大数据资产安全。
在本平台，您可以便捷地完成对资源的申请、审批、分类分级等管理工作，下面将从基本概念、角色权限、资源权限申请类型等几方面进行简单介绍，以帮助您更好地理解数据安全。
约束限制
购买 DataLeap 后，在相应的引擎控制台不要做以下操作，否则可能对数据安全的权限展示、操作等造成影响。
- 在ByteHouse CE控制台，授予用户sys_admin角色。
- 在LAS或ByteHouse CE控制台，给账号授权。
功能介绍
数据安全平台的核心功能如下：
- 数据权限管理
提供精细化的数据权限申请、权限审批、权限审计等功能，实现了权限最小化管控，同时方便您查看权限审批流程各环节的进展，及时跟进处理流程，详情可参见申请权限、审批工单、申请授权审计。 - 数据内容安全管理
提供数据分级分类、数据保护等功能，能够快速及时识别存在安全隐患的数据，最大限度地减少未经授权的数据使用、泄露与滥用的风险，从而保障数据内容的安全可靠，详情可参见安全标签、数据保护。
基本概念
名称 | 说明 |
|---|---|
数据源 | 指数据源的类型，目前数据安全已支持数据源类型有 MiniBase Hive、LAS、Apache Hive、ByteHouse CE、EMR StarRocks、Databricks 等。 |
资源类型 | 大数据安全场景下的资源存在数据库、数据表、行限制、数据列、资源包等几类资源。
|
保密级别 | 使用的数据可以定义为不同的保密级别，从L1到L4数据的保密性是递增的，即L1的保密级别最低，L4的保密级别最高。 |
权限审计 | 为保障授权的合理性以及规避潜在的数据安全风险，权限负责人和超管均可通过权限审计功能，对申请授权和主动授权的工单进行定期审计。 |
数据分类 | 通过属性或特征来对数据进行分类，把具有某种共同属性或特征的数据归并在一起，并根据分类为其匹配合适的安全管控措施。 |
安全标签 | 标签是一种特殊关键字，可对某类特定特征进行抽象概括，以便于快速检索、分享。安全标签特指安全场景下所使用的特殊关键字，可用于标识数据分类、保密级别。 |
数据加密 | 通过可视化静态加密任务来完成对表字段的加密，实现对敏感数据的保护。 |
数据解密 | 通过可视化静态解密任务来实现对加密数据的解密。 |
数据脱敏 | 通过可视化静态脱敏任务来实现敏感数据的脱敏处理。通过数据脱敏处理，原始数据的真实信息被隐藏或篡改，从而防止未经授权的用户获取敏感信息的真实值。 |
角色权限
基础角色
在数据安全场景下，根据用户所具备能力及获取权限方式的不同，可以将资源用户分为生产者和管理者两种角色。
- 生产者：是指库管理员、表负责人，可以设置资源信息、管理资源权限，默认不参与资源申请的审批。
- 管理者：是指权限负责人，对资源安全负责，主要职责包括审批资源申请、设置资源申请和审批配置、资源授权管理、资源授权审计等。既参与审批也可设置审批流程，还可以对负责的资源进行权限管理。
- 不同资源层级可细分为不同的权限负责人，包括库权限负责人、表权限负责人。
- 权限负责人可以管理自身资源，以及更低层级资源。例如，某数据库的库权限负责人既可以管理该数据库，也可以管理该库下的表。
不同角色所具备的能力如下表所示。
生产者（库管理员、表负责人） | 管理者（库/表权限负责人） | |
|---|---|---|
资源赋权方式 | 默认赋权，可更改设置。 | 需单独申请或主动授权。 |
管理能力（授权/回收/设置密级等） | 支持 | 支持 |
设置或移交权限负责人角色 | 支持，同时支持修改设置较低层级资源的权限负责人。 | 支持，同时支持修改设置较低层级资源的权限负责人。 |
权限审批 | 不支持，后续可配置。 | 支持 |
说明
- 若将生产者设置为权限负责人，则生产者即为管理者，同时具备了参与审批的能力。
- 设置审批流程时，可以将生产者添加为审批人。
管理员角色
在数据安全场景下，除了数据资源权限相关角色，还有负责推进数据安全治理的相关管理员角色，具体如下：
- 超级管理员：指系统负责人，拥有所有功能权限和所有数据资源管理权限。
- 系统管理员：指系统的运维人员，负责管理员权限分配等系统配置运维。
- 安全标签管理员：指分类分级负责人，负责管理安全标签和扫描任务。
- 数据保护策略管理员：拥有管理数据保护策略的权限，如动态脱敏策略和免脱用户管理。
资源权限申请
库、表、行、列均作为单独的资源实体，支持申请类型包括整库权限申请、整表权限申请、行限制申请、数据列申请、资源包权限申请。
注意
- 整表权限包含行限制权限，申请行限制时，既可申请整表权限也可按行申请。
- 整表权限不包含敏感列和加密列权限，必须申请相应列权限后，才能使用其信息。
申请类型
- 整库权限申请
为避免频繁申请数据表，DataLeap 数据安全支持设置整库粒度的申请，且可设置是否开放该申请。 - 整表权限申请
整表权限申请是最常用的使用场景。为避免频繁申请行数据，DataLeap 数据安全支持设置整表粒度的申请，且可设置是否开放该申请。 - 资源包权限申请
资源包是库表资源的集合，支持跨库跨数据源组合。例如，当您需要频繁使用多张表的权限时，可以将多张表权限设置为一个资源包。 - 行限制申请
若表设置了行限制，可按需申请行限制，支持按受控字段的枚举值进行申请，申请时可手动增加枚举值。例如，管理者希望按照字段city来控制用户访问的范围，设置了行限制"city = Beijing"、"city = Shanghai"，并关闭了整表权限申请，则用户后续只能按照行限制"city = Beijing"、"city = Shanghai"申请权限。申请后，可访问符合一定过滤条件的数据，如where city = 'Beijing'，详细示例可参见申请示例详解部分。 - 列申请
若表设置了敏感列或加密列，可按需申请敏感列或加密列。例如，管理者设置了敏感列"city"，则用户必须申请敏感列"city"的权限后，才能访问“city”列的数据，详细示例可参见申请示例详解部分。
申请示例详解
张先生有一张数据表，信息如下，他设置了行限制"sex=F"、敏感列"city"。
name | age | sex | city(敏感列) |
|---|---|---|---|
zhangsan | 71 | F | Beijing |
lisi | 58 | M | Guangzhou |
wangwu | 61 | M | Beijing |
zhaoliu | 46 | F | Tianjin |
sunqi | 64 | M | Shanghai |
李先生申请不同权限后，可访问的范围各有不同，具体如下：
申请整表权限：可以查询敏感列以外的所有数据。
name
age
sex
zhangsan
71
F
lisi
58
M
wangwu
61
M
zhaoliu
46
F
sunqi
64
M
正确SQL查询语句示例
select name,age,sex from db.table无权访问的SQL查询语句示例
select name,city from db.table /无敏感列权限
申请整表权限 + 敏感列"city" ：可以自由访问该表所有数据，SQL查询语句示例如下。
select * from db.table select name,city from db.table申请行限制"sex=F"：可查看不包括敏感列在内的所有"sex=F"的数据。
name
age
sex
zhangsan
71
F
zhaoliu
46
F
正确SQL查询语句示例
select name,age,sex from db.table where sex = 'F'无权访问的SQL查询语句示例
select name,city from db.table where sex = 'F' /无敏感列权限 select * from db.table /无整表和敏感列的权限 select name,age,sex from db.table /无整表的权限
申请行限制"sex=F" + 敏感列"city"：可查看所有"sex=F"的数据。
name
age
sex
city(敏感列)
zhangsan
71
F
Beijing
zhaoliu
46
F
Tianjin
正确SQL查询语句示例
select * from db.table where sex = 'F' select name,sex,city from db.table where sex = 'F'无权访问的SQL查询语句示例
select * from db.table /张先生无整表的权限，必须在SQL语句中指定WHERE从句 select name,sex from db.table /没有整表的权限，必须在SQL语句中指定WHERE从句