1、探索 PG 的高效访问与安全管控之道杭州图尔兹信息技术有限公司 2024 版权所有自研产品线3条知识产权34上海品茶氛围工程师文化四大核心行业金融、政府、医疗、现代制造业团队研发比例80%平均年龄29岁核心成员以阿里经验者为主成立于2018年3月总部位于浙江杭州团队为技术研发导向的工具产品型软件公司关于图尔兹图尔兹 取名自Tools，主要面向IT，故标识主体为Binary Tools即BinTools。我们信奉工具的力量，致力于“Tools 让 IT 更美好”！公司围绕按数据操作和运维提供全套数据库（包括大数据）安全解决方案。通过自研，建立3条产品线，分别是：CloudQuery数据库管控，D

2、PEasy数据库密码变更，AskPanel 安全面板运维，全面助力对数据内容敏感且不愿牺牲效率的政府和企事业单位。目前有4大核心行业：金融、政府、医疗、现代制造业，并已与大数据安全行业内诸多知名企业形成产品间的战略合作关系。杭州图尔兹信息技术有限公司 2024 版权所有02CloudQuery效率与安全设计03未来规划01PG数据库访问管控现状目录与PG相关/兼容的数据库家族体系不断发展壮大国产数据库数量国产数据库份额数据库技术形态截至2024年3月墨天轮上共288款国产数据库参与排名国产数据库份额25%(?)左右，未来将加速国产替代NewSQL、分布式、HTAP、serverless、湖仓一

3、体、内存技术、超融合与流式处理、云原生数据安全法规对数据库访问控制和审计要求日益严格网络安全法数据安全法个人信息保护法等保2.0金 融金融数据安全数据生命周期安全规范个人金融信息保护技术规范医 疗电子病历评级互联互通评级医疗等保政 府政务服务平台基础数据规范关于规范省级税收大数据平台建设和加强数据管理的通知企业DCMM数据库访问管控现状及问题 客户端堡垒机其他协议内部开发内部运维三方代运维开发集成商散点状访问通道效率问题安全问题账号共享账号多人共享，操作行为难以定位到人，易造成账号泄漏权限失控权限管理混乱，员工被赋予过多的超出其工作所需的权限数据泄露核心数据缺乏脱敏保护和导出控制，存在数据泄露

4、风险客户端种类多数据库细分导致工具复杂多样，频繁切换，学习成本高管理难度大不同数据库拥有不同用户权限体系，无法统一管理缺少协作流程权限申请授予、数据变更导出等日常操作缺少一体化流程传统工具方式难以兼顾效率与安全客户端1客户端2客户端3共享的真实数据库账号/权限堡垒机传统桌面客户端堡垒机内嵌客户端效率安全数据库支持内置SQL编辑器使用灵活性账号安全权限控制数据脱敏操作审计传统桌面客户端国外数据库有一般直联数据库，账号密码泄露风险无无无堡垒机(内嵌桌面客户端)国外数据库有一般密码代填，登录绕过风险库级无字符审计与录像回放理想中的数据库客户端应该长什么样多种数据源支 持 P G 家 族 体 系 及

5、其 他 各 种 类 型RDBMS、NoSQL、HTAP、MPP、BigData数据源细粒度权限控制可提供比数据库内置权限体系颗粒度更细更灵活的权限控制能力，多样化的授权方式和策略数据访问保护对明文敏感数据支持动态脱敏、静态脱敏，可控制数据查询和导出数据量，结果集水印防止数据泄露操作审计分析精准记录用户对数据库的所有SQL访问和操作日志，通过不同维度对操作进行审计分析和溯源企业级集成与企业内部的用户系统、流程工单、审计中心等管理平台无缝集成，形成一体化的管控体系流程协同将在客户端上的日常操作和流程申请进行有效衔接，操作、变更、权限申请赋予一站式搞定理想客户端=统一+效率+安全提供统一的数据库访问

6、入口，在高效使用的同时透明化加入安全防护机制新一代询盾CloudQuery数据库访问客户端支持RDBMS、NoSQL、MPP、大数据等多达20多种数据源。丰富的数据源多云异构数据库统一访问，完全替代传统桌面数据库开发工具，简单易用。统一的Web客户端覆盖数据库使用上下游全链路各团队角色成员，实现高效敏捷数据操作与管控。多人高效协同用户多因素认证、对象最小权限控制、数据脱敏加密、导出水印、操作审计360度无死角防控。全方位数据安全通过自研数据库客户端和SQL解析引擎实现统一人员访问入口、统一数据库客户端、统一授权管理、统一协作流程、统一监控审计询盾CloudQuery对PG的支持数据类型常见数据

7、类型高阶数据类型函数内置函数用户自定义函数对象表外表视图物化视图SQL语言PL/pgSQLPL/SQL函数存储过程序列CloudQuery已支持众多PG家族体系数据库，对数据类型、函数、数据库对象、SQL语法也做了良好的兼容和适配。支持列表(不断增加中)PGMogdbGreenplum瀚高OpenGaussTDSQL PGGaussDBKingbase PG 海量数据PolarDB PG 神州通用询盾CloudQuery自研SQL引擎SQL引擎解析词法分析语法分析鉴权操作对象分析主体分析数据保护数据保护配置操作对象匹配执行连接管理事务管理结果集处理结果集管理字段标准化方言适配标准对象封装RBA

8、C权限鉴别权限策略命中鉴别高危操作保护SQL改写SQL执行归并处理权限服务数据保护服务SQL引擎可有效兼容屏蔽各类数据库的SQL方言与权限服务、数据保护服务联动实现权限管控和数据脱敏保护SQL输入询盾CloudQuery效率与安全功能的设计考虑效率安全使用效率管理效率全 链 路 管 控多因子认证自然人账号行列级授权过期自动回收高危操作拦截告警关键数据脱敏自动扫描发现查导分离数据水印操作轨迹记录行为回溯操作体验兼容高效SQL编辑器SQL规范模板操作备份与闪回批量脚本执行数据源批量纳管统一授权方式丰富授权策略内置流程工单企业级集成客户端如何实现与传统数据库桌面工具兼容和增强兼容可视化数据库对象管理

9、对象右键功能菜单 增强右键菜单权限数据库对象操作权限元素浏览区兼容智能语法提示和高亮常用工具栏SQL编辑区增强SQL权限控制、操作闪回快捷工单、个人脚本仓库兼容树对象信息 增强运行任务访问权限申请单辅助侧边栏兼容结果集展示、编辑执行日志 增强结果集编辑、导出权限结果集过滤、脱敏结果集和执行日志兼容执行语句、字符集、光标位置.状态栏询盾CloudQuery SQL规范模板为更好提升SQL编写的性能和规范性，平台内置Oracle、SQLServer、MySQL、PostgreSQL多种数据库SQL审核规则模板，可在SQL窗口、工单场景启用，且支持自定义审核规则，更好适配内部使用实践。内置标准SQL

10、规则模板默认提供常用数据源DQL、DML、DDL、使用建议、命名规则等多种SQL编写规范。支持多种场景启用可在SQL编辑窗、数据变更工单、SQL脚本等多个场景启用审核规则。自定义SQL审核规则规则模板可根据数据库类型、数据库实例指定具体生效目标，也可自定义审核规则模板。询盾CloudQuery 操作备份与闪回解析SQL是否需备份操作备份数据当前业务库备份库改写SQL是否开启闪回获取备份数据生成闪回SQL是是SQL编辑窗及变更工单可开启自动备份，以便误操作时进行回滚询盾CloudQuery 批量脚本执行针对复杂场景下自助执行批量SQL脚本提供了编排调度能力与变更工单构成生产库变更两种互补方式可在

11、多数据源、多脚本批量执行情况下编排执行顺序，既可通过索引文件也可手工调整先后关系。创建任务定义执行方式和错误处理逻辑，在管理侧对可批量执行脚本的实例也进行权限控制。定义执行方式提供执行日志、脚本替换和重试，执行动作可通知管理人员。执行结果日志询盾CloudQuery账号安全管理自有账号LDAPAD域CAS客户内部用户系统用用户户中中心心普通用户独立分配自然人账号对接实例纳管资源配置数数据据库库管管理理管理员纳管数据库实例账号授权管理赋予访问操作权限数据库访问组件选择访问实例获取真实连接账号访问操作普通用户接触不到数据库账号密码使用真实身份访问数据库，防止数据库账号交叉使用或者泄漏询盾Cloud

12、Query权限管控整体思路人员A人员B人员C用户管理角色管理认证管理组织管理账户A权限A账户B权限B账户C权限C通过将不同类型数据库的账号权限体系统一抽象至客户端平台结合SQL解析引擎、Pipeline执行框架实现精确、细化、丰富的权限管控手段SQL解析引擎+Pipeline执行框架实现细粒度权限控制账号权限体系上移，在客户端平台实现账号、权限隔离到人资源分组、权限分组、人员分组+属性时间变量+计数器实现丰富策略询盾CloudQuery权限管控详细能力授权模式 手工批量 自动策略 分级授权人员权限 行列级 时间周期 操作行数(限量)操作窗口(限时)结果集与工具权限 访问安全设置 高危操作拦截

13、导出安全设置对象安全设置两个权限管控角度：人员+数据库对象三种授权模式：手工批量授权+自动策略授权+分级授权 主体权限 客体权限无权限仅浏览仅访问可编辑可管理询盾CloudQuery的三种授权策略数据库分组分组A分组B权限等级部门A部门B部门C批量授予手工批量授权手工批量授权自动授权自动授权分级授权分级授权人员架构和权限相对稳定，快速实现权限管控部门或临时性项目组成员变动频繁，减轻权限管理工作量多部门、多系统独立闭环权限管理$USER.Dept=A部门$USER.Group=B项目组$TIME.FullTime=202307271430人员属性变量时间属性变量$USER.Group=B项目组

14、and$TIME.FullTime=202307271430权限集授权策略动态生效有权限用户无权限用户业务库A业务库B业务库C数据库资源池DBA实例资源管理部门A业务库A部门B业务库B部门C业务库C资源管理职责分发实例授权管理部门管理人员无权限仅浏览仅访问可编辑可管理询盾Cl oudQ uery的三种授权策略数据库分组分组A分组B权限等级部门A部门B部门C批量授予手手工工批批量量授授权权自自动动授授权权分分级级授授权权人员架构和权限相对稳定，快速实现权限管控部门或临时性项目组成员变动频繁，减轻权限管理工作量多部门、多系统独立闭环权限管理$U SER.D ept=A部门$U SER.G roup

15、=B项组$TIM E.Ful l Ti m e=202307271430人员属性变量时间属性变量$U SER.G roup=B项组 and$TIM E.Ful l Ti m e=202307271430权限集授权策略动态生效有权限用户无权限用户业务库A业务库B业务库C数据库资源池D BA实例资源管理部门A业务库A部门B业务库B部门C业务库C资源管理职责分发实例授权管理部门管理人员询盾CloudQuery动态脱敏架构流程SQL执行引擎数据保护服务解析鉴权脱敏、行过滤执行结果集处理SQL改写结果集改写SQL脱敏改写和结果集改写两种方式结合可以有效规避脱敏规则绕过、覆盖不同场景类型语句改写将包含敏感

16、字段查询的语句改写，对于查询中涉及的敏感字段（表列）通过外层嵌套函数的方式改写。结果集改写提前获悉数据表结构，待数据库返回结果后再根据表结构判断集合内哪些数据需要脱敏，并逐条改写结果数据。多种数据脱敏工具和方式保护PG数据库字段脱敏对字段设计脱敏加密规则和算法，统一数据库可采用相同密钥保证加密后正常关联查询内置规则脱敏数据库实例或Schema/DB级别开启即可生效，通过数据采样方式对匹配的字段进行自动脱敏仿真脱敏基于数据的逻辑构成，保证脱敏后数据与脱敏前数据的格式一致，用于二次开发测试等使用脱敏扫描通过扫描规则和定时任务周期性扫描库表，帮助管理员发现未知的敏感数据询盾CloudQuery所提供

17、的全方位操作审计分析能力审计大盘个性化审计主页，支持设置和展示统计信息仪表盘，并可灵活自定义仪表盘。对象审计以数据库对象为角度的独立审计功能，可以查看指定数据库对象的操作记录，用户权限信息用户审计以用户对象为角度的独立审计功能，可以查看指定用户拥有的访问权限、数据库操作记录和SQL访问明细等。操作日志针对数据库操作和平台操作日志提供检索、筛选、查看，方便进行安全问题根因定位。基于平台底层接口获取到执行的SQL语句区别于传统数据库审计产品，审计结果能达到百分比准确，审计精确到人询盾CloudQuery未来的规划账号分析 分析数据库账号使用和访问情况，对不当使用和非法来源提供治理建议。客户端管控 拦截管控客户端工具，帮助客户引入CloudQuery后收敛其他访问方式。基础能力增强 参考桌面客户端工具进行基础能力增强创新，适时引入AI能力。感谢您的观看！杭州图尔兹信息技术有限公司 2024 版权所有CloudQueryCloudQuery公众号公众号BinToolsBinTools小助手小助手