Databend 的安全设计

Databend 的安全、加密以及合规性

基础设施安全

物理基础设施

Databend Cloud 目前部署于 GCP、AWS、阿里云以及腾讯云托管的 Kubernetes 集群上，所有服务器遍布全球，包括美国。我们使用孤立的无状态 pods 来访问带有瞬时缓存的内部存储。

数据安全和加密

数据访问权限控制

我们在租户之间实施严格的数据访问隔离。Databend Cloud 上不存储任何长期访问密钥。为了最小化数据泄露风险，我们会定期轮换具有最小权限要求的数据访问密钥。

我们使用云提供商提供的数据加密和身份认证服务。这种服务可以提供一个自动轮换的 Token（例如，半小时后自动过期），通过云供应商的 STS 服务与 IAM 角色建立身份关联，然后通过 IAM 规则限制服务的访问权限，实现细粒度的访问控制。

在 Databend Cloud 中，每个租户都被分配一个专用的 IAM 角色和一个加密的数据存储桶。

IAM 政策被配置为限制每个租户访问特定的存储位置。这消除了长期访问密钥的需求，使得对如 S3 等云资源的访问更加安全可靠。

数据静态加密

Databend Cloud 中存储的所有数据默认使用服务器端加密，由专用 KMS 执行。此外，用户还可以利用 Databend Cloud 的 Assume Role 机制挂载他们自己的 AWS 账户中的 S3 桶进行数据分析。Databend 仅支持在专用仓库中对数据进行解密和加密。

网络安全

通信过程中的安全保护

我们为所有通信提供端到端加密。所有客户数据流仅通过 HTTPS 传输。连接从客户端通过到 Databend API 网关使用 TLS 1.2 加密。

通过 VPC 私有链接限制网络访问

PrivateLink 通过 VPC 对等连接提供增强的网络安全性，连接到 Databend 云集群。客户可以使用 VPC 端点发起对所需服务的连接，进一步配置安全组来创建信任边界并控制对端点的访问。目前，此功能仅在 AWS 上可用。如果您的团队对其他云提供商有特别关注，请联系我们的支持团队。

网络政策执行

Databend 支持用户在网络政策中配置网络 IP 允许列表和阻止列表。

这允许您定义一组规则，管理特定用户允许和阻止的 IP 地址范围，有效控制他们的网络级访问。

数据访问控制

RBAC 和 DAC 访问控制

Databend 提供一系列权限，允许您对数据库对象进行精细控制。

客户完全控制 RBAC，同时，DAC（自由裁量访问控制）也适用于客户创建的拥有对象的角色。

有关每个数据库对象的权限的详细信息，请查看我们的文档。

基于列的访问控制

Databend 允许用户通过创建数据脱敏政策配置列级数据可见性。数据脱敏政策会根据当前分析器的角色动态地转换数据并重写或隐藏给定列。

政府和行业安全合规努力

Databend 目前与 Vanta 合作，以满足包括 SOC-2 Type-2 和 GDPR 在内的合规标准。

我们的 Databend Cloud 合规努力包括：

• SOC 2 Type II 评估：独立第三方已全面进行 SOC 2 Type II 评估，确认我们的操作控制的健壮性和有效性。强调我们对安全和卓越的承诺，我们持续监控并增强我们的操作控制和防御措施以应对漏洞。我们的专门团队确保这些标准得到不折不扣的维护。我们预计将在 2024 年 8 月接收下一份审计报告。
• GDPR 合规性：我们的 GDPR 合规性依赖于严格的数据隐私执行、强化的加密和定期的隐私审计，以保护个人数据免受未授权访问。我们执行严格的访问控制，仅允许一小部分经过培训的安全人员访问和监控我们的基础设施和操作日志，确保数据保护和合规性的最高水平。