不依赖公有云/私有云/系统加密 • 用户合规需求 • 数据安全审计 • 业务安全审计 PART 02 需求和挑战 来自用户的需求（1） • 密钥自主可控 • 主密钥存储于安全区域中 • 密钥不出区 • 加密密钥支持轮换 • 按时间/条件进行密钥轮换 • 无需停机，不中断服务 • 对性能影响小 • 避免额外造成查询延迟 • 不影响批量读取，流式数据写入性能 来自用户的需求（2） • 减少因为密钥泄露而造成的损失 • 多级密钥 • 密钥加密密钥 • 用户无感知 • 自动生成次级密钥 • 密钥自管理 • 分区加密 技术挑战（2） • 和数据库存储结合 • 不影响数据库内核（执行器，优化器） • 不修改/添加元数据表格式 • 业务拟合 • 不影响原有用户的查询\业务 • 不影响外围组件（ETL） PART 03 透明加密的实现 密钥管理 • 主密钥由用户提供 主密钥由用户提供 • 保存于用户信任域中 • 无需加解密主密钥 • 多级密钥 • 单密钥加密数据为数据页 • 轮换上级密钥无需重新加解密数据 • 支持按页/按表轮换密钥 • 密钥保存 • 次级密钥均在持久化存储中 • 页级密钥与数据共存 主密钥 用户创建 用户信任域 主密钥 租户密钥 用户创建 租户创建 用户信任域 持久化存储区域 主密钥 租户密钥 表密钥 用户创建

数据分布和弹性 o 分布式 eMPP 架构 (一致性Hash) o 本地数据减少高延时的云存储访问 o 减少数据移动 o 扩缩容最少的数据移动 • 数据安全性 o 透明数据加密 o 三级密钥 o 实时加解密 构建新一代云原生存储引擎 IvorySQL开源数据库社区 全链路优化 • 全新的存储引擎简墨（JANM） ⚬ 基于对象存储的行列混存架构 ⚬ 压缩比更好 ⚬ Cache 加密用户数据，避免被未经许可人员读出 • 用户无感知，不影响用户的业务，对性能影响小 • 合规 o 符合数据安全审计要求 o 符合业务安全审计要求 安全性增强 IvorySQL开源数据库社区 主密钥 租户密钥 表密钥 页密钥 用户创建 租户创建 表创建 数据写入 用户信任域 持久化存储区域 数据存储区域 IvorySQL开源数据库社区 安全性增强 • 云原生安全 o 传输层加密 o 在计算层，各个计算节点针对元数据和用 户数据都设计了多层缓存结构，避免网络 延迟和数据移动，提高计算效率，保证用 户的实时性需求。 数据安全 PieCloudDB 提供企 业级透明数据加密。 运用实时加密，高强 度算法，多级密钥等 技术保护数据安全。 IvorySQL开源数据库社区 IvorySQL开源数据库社区 IvorySQL开源数据库社区 Any Questions? IvorySQL开源数据库社区 Thank

• 数据分布和弹性 • 分布式eMPP架构 (一致性Hash) • 本地数据减少高延时的云存储访问 • 减少数据移动 • 扩缩容最少的数据移动 • 数据安全性 • 透明数据加密 • 三级密钥 • 实时加解密 @2022 OpenPie. All rights reserved. OpenPie Confidential 全链路优化 • 全新的存储引擎简墨（JANM） • 基于对象存储的行列混存架构 符合数据安全审计要求 • 符合业务安全审计要求 安全性增强 @2022 OpenPie. All rights reserved. OpenPie Confidential 主密钥 租户密钥 表密钥 页密钥 用户创建 租户创建 表创建 数据写入 用户信任域 持久化存储区域 数据存储区域 @2022 OpenPie. All rights reserved. OpenPie 在计算层，各个计算节点针对元数据和用 户数据都设计了多层缓存结构，避免网络 延迟和数据移动，提高计算效率，保证用 户的实时性需求。 数据安全 PieCloudDB提供企业 级透明数据加密。运 用实时加密，高强度 算法，多级密钥等技 术保护数据安全。 @2022 OpenPie. All rights reserved. OpenPie Confidential D a t a C o m p u t i n g f o

• 数据分布和弹性 • 分布式eMPP架构 (一致性Hash) • 本地数据减少高延时的云存储访问 • 减少数据移动 • 扩缩容最少的数据移动 • 数据安全性 • 透明数据加密 • 三级密钥 • 实时加解密 @2022 OpenPie. All rights reserved. OpenPie Confidential 构建新一代云原生存储引擎 • 用户成本 （存储成本） • 符合数据安全审计要求 • 符合业务安全审计要求 安全性增强 @2022 OpenPie. All rights reserved. OpenPie Confidential 主密钥 租户密钥 表密钥 页密钥 用户创建 租户创建 表创建 数据写入 用户信任域 持久化存储区域 数据存储区域 @2022 OpenPie. All rights reserved. OpenPie

完善敏感信息存储与传输等⾼风险环节的控制措施，对数据、⽂ 档的访问应建立严格的审批机制，对用于测试的⽣产数据要进⾏ 脱敏处理，严格防⽌敏感信息泄露。 存 储 层 Table Log … 密⽂ 存储 ⼀级密钥 ⼆级密钥 三级密钥 数据 访问 PieDataCS 加密 模块 存储 引擎 业务系统 明⽂访问 其他请求 根据权限返回 KMS服务 传输加密 实时加解密 加密算法兼容 完备权限管控 计 算 层 应用程序，替换了部分Spark应用（SparkSQL）； Ø 与集团内部的云平台进⾏了统⼀集成，通过API接⼝实现了系统对接，统⼀进⾏租户和资源的管理，支持资源管控和 隔离、数据透明加密以及租户密钥隔离等； Ø 引⼊PieCloudDB虚拟数仓技术，可以让技术栈更加专精，⼤⼤降低了数据中台的开发、运维和使用的门槛，⼤幅提 升了数据应用开发的效率； Ø PieCloudDB具备完善的商业化

配置。 不受基础架构限制 PieCloudDB： 11 数据隐私安全和加密 完善的数据生态 PieCloudDB 提供企业级数据透明加密。实时加密（on-the-fly）、高强度算法、多级密钥、传输加密等技术为企业数 据的安全性保驾护航。 PieCloudDB 还支持包括数据库、表级别授权管理等完善的安全及权限管理，帮助企业系统地管理表级别的权限。支 持函数、参数等相关的白名单配置，避免用户对系统进行误操作。 态环境（如公有云、私有云和混合云）中构建和运行 可缩放的应用程序，能够充分适配和发挥云计算的优势能力； TDE: Transparent Data Encryption，透明数据加密，使用加密密钥或DEK实时进行输入/输出数据加密和解 密，整个过程对应用完全透明，应用无需感知； 服务无感知： 数据仓库的“Serverless”化，让用户使用数仓服务时不用关心服务器的架构和存在，所有底层资

Openpie | PiecloudDB 基于eMPP (弹性大规模并行计算) 的云原生虚拟数仓 产品白皮书 pieCloudDB 提供企业级数据透明加密。实时加密 (on-the-fly) 、高强度算法、多级密钥、传输加密等技术为企业数 据的安全性保驾护航。 pieCloudDB 还支持包括数据库、表级别授权管理等完善的安全及权限管理，帮助企业系统地管理表级别的权限。支 持函数、参数等相关的白名单配置，避免用户对系统进行误操作。