安全功能概览

云器 Lakehouse 从身份认证、访问控制、网络隔离、数据保护、备份恢复五个层次提供安全能力，覆盖企业安全基线到等保 2.0 三级、行业监管等主流合规场景。

安全能力全景

安全层次	核心能力	适用问题
身份认证	MFA 多因子认证、SSO 单点登录	账号被盗、密码泄露
访问控制	RBAC 角色体系、细粒度 GRANT/REVOKE	权限过大、越权访问
网络隔离	IP 白名单、Private Link、私有存储 BYOS	公网暴露、流量出境
数据保护	动态脱敏、AES-256 存储加密	敏感列泄露、静态数据暴露
备份恢复	Time Travel、RESTORE TABLE、UNDROP	误删、误改数据

典型合规场景与功能组合

企业内部安全基线

面向刚开始搭建数据平台的团队，优先完成以下三项：

建立角色体系，用 RBAC 代替直接赋权，方便集中管理权限变更 → 访问控制
为管理员账号开启 MFA，防止密码泄露导致的账号失控 → 身份认证
配置 IP 白名单（网络策略），将访问来源限制在公司网段 → 网络策略

等保 2.0 三级

等保三级在身份鉴别、访问控制、安全审计、数据保密性、通信网络安全五个控制域均有明确技术要求，对应 Lakehouse 功能如下：

等保控制域	Lakehouse 功能	参考文档
身份鉴别（双因素认证）	MFA / SSO	身份认证
访问控制（最小权限）	RBAC + GRANT/REVOKE	访问控制
安全审计（操作记录）	作业历史查询、操作日志	安全合规审计指南
数据传输保密性	SSL/TLS（平台默认启用）	—
数据存储保密性	AES-256 存储加密	存储加密
通信网络安全	私网连接（Private Link）	私网连接概述

金融、医疗等敏感行业

处理个人信息、交易数据的场景在等保基础上还需叠加数据保护措施：

动态脱敏：按角色控制手机号、身份证、金额等敏感列的可见范围，原始数据不动 → 动态脱敏
存储加密（自定义 KMS）：使用你自持的密钥，满足数据主权和密钥审计要求 → 存储加密
私网连接：数据全链路走内网，不经公网 → 私网连接概述
私有存储 BYOS：数据写入你自己的对象存储桶，Lakehouse 不持有数据副本 → 私有存储 BYOS

数据灾备与业务连续性

需要满足 RPO/RTO 指标或防范误操作风险的场景：

Time Travel：默认保留 1 天历史版本，最长可配置至 90 天，支持查询任意时间点的历史快照 → 备份和恢复
RESTORE TABLE：将表数据回滚到指定时间点，恢复误覆盖
UNDROP TABLE：恢复意外 DROP 的表

各安全模块简介

访问控制

支持 ACL（直接赋权）和 RBAC（角色赋权）两种模式，推荐使用 RBAC。将权限分配给角色，再将角色授予用户；权限调整时只需修改角色定义，无需逐用户操作。系统中无超级用户，所有操作须显式授权。

身份认证

MFA：绑定 Google Authenticator，登录时需输入动态验证码，防止密码单点泄露
SSO：对接企业 IdP（如 Okta、Azure AD），由企业统一管理账号的创建、注销和权限生命周期

参考文档：身份认证 · 绑定 Google Authenticator（MFA） · SSO 配置

网络隔离

三种方式按需叠加，防护深度递增：

方式	防护范围	适用场景
网络策略（IP 白名单）	拦截非授权 IP 的访问请求	限制公司网段以外的连接
私网连接（Private Link）	通过云厂商内网通道访问，流量不出 VPC	禁止走公网的生产环境
私有存储（BYOS）	数据写入你自己的对象存储桶	数据主权要求、不允许数据存在第三方

动态脱敏

在列上绑定脱敏函数，查询时系统按当前用户的身份或角色动态改写返回值，原始数据始终完整存储。适用于手机号、身份证号、银行卡号、薪资金额等敏感列。支持创建表时绑定，也支持对已有表的列追加或解除脱敏策略。

→ 动态脱敏

存储加密

对工作空间内新建表的数据开启 AES-256 服务端加密，支持两种密钥模式：

托管加密：使用云厂商对象存储服务的托管密钥，无需额外配置
自定义 KMS 加密：使用你自持的 KMS 密钥（ARN），密钥的生命周期由你控制；当前支持阿里云和 AWS

⚠️ 注意：表一旦开启加密，无法恢复为非加密状态。加密仅对开启后新建的表生效，不影响已有表。

→ 存储加密

备份与恢复

依托 Time Travel 机制提供数据保护：

默认保留 1 天历史版本，可按表配置至最长 90 天
可在保留窗口内查询任意时间点的历史数据快照
```
RESTORE TABLE
```
RESTORE TABLE
将表回滚到指定时间点，覆盖当前数据
```
UNDROP TABLE
```
UNDROP TABLE
恢复意外
```
DROP TABLE
```
DROP TABLE
后的表

→ 备份和恢复