动态脱敏是在不更改基础数据的情况下，仅改变最终展示的查询结果数据；脱敏规则用于管理脱敏的数据范围及具体的脱敏方式。本文为您介绍如何创建及管理动态脱敏规则。
使用限制
当前仅支持对Dataphin表字段进行脱敏。
权限说明
安全管理员、拥有脱敏规则、数据分类管理权限的全局自定义角色支持新建及管理动态脱敏规则。
一级目录管理员可选择其所负责的数据分类配置脱敏规则。
脱敏规则负责人可以管理所负责的规则，但是操作会同时受到数据分类管理权限的限制。
脱敏规则介绍
动态脱敏规则常用于查询某些敏感的生产数据场景。对满足条件的数据对象进行数据变形或加密，以实现对敏感隐私数据的可靠保护。
若所属板块或所属项目下的表有字段被选择的数据分类打标为识别结果，则根据脱敏方式和脱敏算法在写开发表或数据查询时对数据进行脱敏。
新建动态脱敏规则
在Dataphin首页的顶部菜单栏，选择治理 > 数据安全。
在左侧导航栏选择敏感数据保护 > 脱敏规则，在脱敏规则页面，单击动态脱敏规则页签，单击+新建动态脱敏规则按钮。
在新建动态脱敏规则对话框中，配置参数。
参数
描述
规则名称
输入动态脱敏规则名称，例如：身份证号脱敏。
规则脱敏说明
自定义规则脱敏备注信息，不超过200字符。例如：用于开发环境中读取生产环境数据。
数据分类
可以选择您有管理权限的数据分类，例如：/个人信息/个人基本信息/身份证。
所属板块
支持通过所属板块圈选需要脱敏的数据范围，支持选择全部或者枚举。
所属项目
支持通过所属项目圈选需要脱敏的数据范围，支持选择全部或者枚举。
应用场景
选择数据脱敏的应用场景。支持选择写开发表、数据查询应用场景。
写开发表：对来源表敏感数据的查询结果进行脱敏后再写入开发表中，防止生产环境的敏感数据泄露，特殊情况下，个人账号写Basic表则视为写开发表。
数据查询：针对不参与生产环境调度的数据查询（如任务的一次性运行、即席查询、分析查询），会对select语句的查询结果进行脱敏后再展示，可避免影响生产环境任务正常运行的前提下尽可能保障敏感数据的安全。
说明如需对数据进行较好的保护，建议开启写开发表和数据查询应用场景。
若您需要将开发的数据保持原值进行关联分析，建议通过脱敏白名单实现精准控制，仅在指定场景下支持明文写入数据表，并将脱敏方式配置为展示脱敏。
脱敏方式
脱敏方式包括底层脱敏和展示脱敏。
底层脱敏：在数据被查询出来的时候就进行脱敏。SQL的处理过程中，都用脱敏后的结果处理，能对数据起到更好的保护效果。
展示脱敏：在数据最后对外展示的时候进行脱敏。SQL处理过程中，都用原文进行处理，因此可以支持简单的where/join等条件，对业务使用更友好。需要注意的是，如果对敏感字段使用UDF处理（如字符串截取），会触发脱敏降级，该字段生成的字段会统一降级为***。
脱敏算法
带标记
的算法为高级算法，需要数据所在项目安装安全函数后才能使用，否则会被降级为默认脱敏方式（md5）。脱敏算法包括遮盖掩码、哈希脱敏、加密和其他。说明当计算引擎为Doris，需选择Apache Doris v2.1.x及以上版本才能使用生日、移动电话、移动电话（隐藏长度）、固定电话、固定电话（隐藏长度）、SHA256、SHA384和SHA512脱敏算法。
哈希脱敏
需配置脱敏密钥的算法包括哈希脱敏-加盐SHA256、哈希脱敏-加盐SHA384、哈希脱敏-加盐MD5、哈希脱敏-加盐SHA512。
脱敏密钥：密钥为加盐哈希脱敏算法的必填参数，无严格的格式要求。
遮盖掩码
遮盖掩码-关键字替换
需要配置遮盖掩码的正则表达式和替换字符串参数。
遮盖掩码-自定义掩码、遮盖掩码-自定义掩码（自定义替换值）
需要配置遮盖掩码参数组（参数分别为：脱敏开始位置，脱敏结束位置，脱敏替换内容；脱敏参数可以成对增加和减少）。
加密：当计算引擎为MaxCompute时，支持加密脱敏算法。
若选择FPE保留格式原生加密，需要配置加密字典、Tweak；选择FPE保留格式加密，需配置加密区间。更多配置详情，请参见配置加密转换组件。
加密字典：用于加密字符的符号，支持系统内置（包括数字、大写英文字母、小写英文字母、数字+大写英文字母、数字+小写英文字母、数字+英文字母、特殊符号）和自定义。
Tweak：配置后可实现同一个明文使用相同密钥，在不同情况下产生不同的密文，可一定程度上提高密文的唯一性和安全性。支持任意字符。
加密区间：支持将指定的字符起止位或全部字符进行加密，加密和解密区域需保持一致，否则解密结果和原始数据可能不一致。
异常兼容：若出现明文不符合加解密算法使用要求、加解密密钥不匹配、编码格式不一致等问题时，将按照已选策略处理明文数据。支持选择返回空值、返回明文、抛出异常。
无需配置加密密钥，将使用系统密钥进行加密，防止脱敏后的数据被反解密从而造成敏感数据的泄露。
您可以在安全算法中测试算法具体的效果，请参见测试安全算法。
不同引擎支持的脱敏算法，详情请参见不同引擎支持的脱敏方式。
生效状态
选择开启或关闭脱敏规则的生效状态。
单击确定，完成动态脱敏规则的创建。
默认脱敏策略
默认脱敏策略即默认的敏感数据保护策略，可统一为没有单独的脱敏规则的敏感数据提供安全保护。
仅支持安全管理员配置默认脱敏规则。
在脱敏规则页面，单击动态脱敏规则页签，单击默认脱敏策略按钮。
在默认脱敏策略对话框中，配置参数。
参数
描述
数据分级
从低到高依次为：对外公开（L1）及以上、对内公开（L2）及以上、机密数据（L3）及以上、绝密数据（L4）及以上，如需新建数据分级，请参见新建数据分级。
脱敏算法
支持选择4种脱敏算法，包括返回空值、返回MD5哈希值、返回*遮盖的值（定长***）、不脱敏。
单击确定，完成默认脱敏策略创建。
查看动态脱敏规则
您可查看动态脱敏的规则介绍 ，并可对动态脱敏规则执行编辑、转交、删除等操作。
区域 | 描述 |
①动态脱敏规则介绍 | 为您展示动态脱敏规则、动态脱敏白名单、静态脱敏规则介绍。 |
②筛选及搜索区 | 您可以按照脱敏规则的名称或数据分类进行模糊搜索，也可以根据脱敏类型、应用场景进行精确筛选。 |
③动态脱敏规则列表 | 为您展示脱敏规则的名称、数据分类、脱敏算法、应用场景、负责人、更新时间、生效状态信息，同时您可以在操作列对动态脱敏规则执行编辑、转交、删除、查看脱敏算法、查看脱敏白名单操作。
|