CN115828282A - 一种在信息系统的全生命周期中数据库加密方法及系统 - Google Patents

Abstract

本发明公开了一种在信息系统的全生命周期中数据库加密方法及系统，该方法包括：获取应用终端用户提交的申请，所述申请为创建数据库账号和密码的工单申请；根据所述申请，服务端的加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据所述账号和密码进行数据库连接。本发明结合服务端的配置管理平台和解密插件，将加密密码推送到配置管理平台还要经过配置管理平台的脱敏加密，且在应用终端只能通过解密插件进行解密，无法获取明文密码，更好的保障了数据库账号密码的安全，避免了数据的泄露。

Description

一种在信息系统的全生命周期中数据库加密方法及系统

技术领域

本发明涉及信息系统加密技术领域，具体涉及一种在信息系统的全生命周期中数据库加密方法及系统。

背景技术

在金融信息系统中，现有加密不能做到全生命周期中对数据库账号密码进行加密，存在账号密码泄露风险，数据库管理员、信息系统管理员等相关人员之间对账号、密码的接触或传递，在应用终端是明文发送，相关人员依然会接触账号、密码等信息，不能在全生命周期中达到相关人员不接触账号、密码的目的，依然存在泄漏风险。

有鉴于此，特提出本申请。

发明内容

本发明所要解决的技术问题是现有金融信息系统的加密不能做到全生命周期中对数据库账号密码进行加密，存在账号密码泄露风险，数据库信息安全性不高。本发明目的在于提供一种在信息系统的全生命周期中数据库加密方法及系统，本发明结合服务端的配置管理平台(加密平台和配置中心)和解密插件，将加密密码推送到配置管理平台还要经过配置管理平台的脱敏加密，且在应用终端只能通过解密插件进行解密，无法获取明文密码，更好的保障了数据库账号密码的安全，避免了数据的泄露。

本发明通过下述技术方案实现：

第一方面，本发明提供了一种在信息系统的全生命周期中数据库加密方法，该方法包括：

获取应用终端用户提交的申请，申请为创建数据库账号和密码的工单申请；

根据申请，服务端的加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据账号和密码进行数据库连接。

进一步地，该方法还包括：

应用终端的用户仅通过解密插件对数据库的密码进行解密，并通过解密后的密码与数据库建立连接。

进一步地，加密平台中维护有一套数据库的元数据信息，元数据信息描述了集群组、集群和数据库实例三个维度。

进一步地，服务端的加密平台依据不同的使用场景，提供不同的加密方式，包括：

对于生产环境，提供无接触加密方式；

对于测试环境，提供平台加密方式。

进一步地，若选择的加密方式为无接触加密方式，则执行如下操作：

对操作者进行权限校验，当权限校验通过后，选择需要进行数据库账号申请和密码加密的数据库集群，获取到数据库集群的详细信息；

根据数据库集群的详细信息，填入加密平台在配置中心的应用标识、集群名称和所属环境，且将账号和加密密码直接推送到配置中心，提供给相关应用访问；

根据加密平台是否需要访问多库的情形，按照多库规则将账号和密码推送到配置中心目标应用的配置项中；

填入新的数据库账号名的后缀部分，其中数据库账号的命名规则为集群名+用户自定义的后缀；若该数据库账号在数据库中已经存在，则提示并重新填入数据库账号的后缀；

根据填入好的数据库账号，为数据库账号赋权限；权限包括：增删查改，可更新、不可删除，增删查改及执行函数，所有权限，只读，查询复制，增删查改，表创建和删除表；

由加密平台完成数据库账号和密码创建、数据库密码加密，及推送数据库账号和密码至配置中心。

进一步地，若选择的加密方式为平台加密方式，则执行如下操作：

对操作者进行权限校验，当权限校验通过后，进行授权功能：提供数据库账号以及该账号授予的权限，若该账号已经在数据库中存在，直接为该数据库赋权限；若该账号不存在，则在数据库中创建该账号，及为该账号设置密码并加密，同时为该账号赋权限；

进行数据库账号和密码复制：拉取出源集群中的所有数据库账号，并选择需要向目标集群复制的数据库账号，及提交给目标集群复制授权，实现将源集群数据库账号和密码复制给另外一个目标集群中；以及

将数据库账号和密码推送至配置中心。

进一步地，配置中心给指定的数据库集群创建账号和密码，包括：

通过使用数据库的内置随机密码生成函数生成一个随机密码，同时根据传入的数据库账号的后缀构建数据库账号；

采用国密加密算法对生成的数据库密码进行加密；

获取当前集群的所有元数据信息，构造一个字典，其中字典包括字典名称和字典的值，字典的值为字典名称对应的数据库实例详情；

根据构造的字典信息，遍历数据库集群中的每一个实例，与当前数据库实例建立连接，并执行创建用户的动作，在当前数据库实例上创建数据库账号和密码，并执行授权动作，为创建的新账号赋权限；

通过调用配置中心提供的http接口将数据库账号和加密的数据库密码加入到配置中心。

第二方面，本发明又提供了一种在信息系统的全生命周期中数据库加密系统，该系统包括应用终端和服务端，服务端包括加密平台、配置中心、应用程序和数据库；应用终端通过网络前端页面连接加密平台，加密平台连接数据库，加密平台连接配置中心，配置中心连接应用程序，应用程序连接数据库；

应用终端，用于用户提交申请，申请为创建数据库账号和密码的工单申请；及通过解密插件对数据库的密码进行解密；

服务端，用于根据申请，加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据账号和密码进行数据库连接。

第三方面，本发明又提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述的一种在信息系统的全生命周期中数据库加密方法。

第四方面，本发明又一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现所述的一种在信息系统的全生命周期中数据库加密方法。

本发明与现有技术相比，具有如下的优点和有益效果：

本发明一种在信息系统的全生命周期中数据库加密方法及系统，本发明实现了在信息系统的全生命周期中数据库加密，减少了非必要系统接触生产数据库账号密码明文，避免了工作人员接触数据库账号密码明文；有效的防止了数据库账号密码被窃取，提高了数据库信息安全。

附图说明

此处所说明的附图用来提供对本发明实施例的进一步理解，构成本申请的一部分，并不构成对本发明实施例的限定。在附图中：

图1为本发明一种在信息系统的全生命周期中数据库加密方法流程图。

图2为本发明一种在信息系统的全生命周期中数据库加密系统的结构框图。

图3为本发明一种在信息系统的全生命周期中数据库加密系统的整体架构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明作进一步的详细说明，本发明的示意性实施方式及其说明仅用于解释本发明，并不作为对本发明的限定。

在个人金融信息保护技术规范中，将个人金融信息敏感程度从高到低分为多个级别。金融机构应该遵循规范要求，设计并实施覆盖个人金融信息全生命周期的安全保护策略。为防止数据库账号被窃取，导致个人金融信息数据泄露，因此本发明提供了一种在信息系统的全生命周期中数据库加密方法。避免数据库管理员、信息系统管理员等相关人员之间对账号、密码的接触或传递，从而达到人员不接触账号、密码的目的，消除账号、密码泄露所带来的数据风险，从而达到防止数据库账号密码泄露的风险。

实施例1

如图1所示，本发明一种在信息系统的全生命周期中数据库加密方法，该方法包括：

步骤1，获取应用终端用户提交的申请，申请为创建数据库账号和密码的工单申请；

步骤2，根据申请，服务端的加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据账号和密码进行数据库连接。

作为进一步地实施，加密平台中维护有一套数据库的元数据信息，元数据信息描述了集群组、集群和数据库实例三个维度。

作为进一步地实施，服务端的加密平台依据不同的使用场景，提供不同的加密方式，包括：

对于生产环境，提供无接触加密方式；

对于测试环境，提供平台加密方式。

以上技术方案，一般来说对于生产环境要求严格的保证数据库密码不能明文出现，必须对数据库的密码加密，并且在整个使用生命周期内避免人为接触，为此提供了无接触加密方式。而在测试环境，一般来说申请到的账号密码是申请人可见的，并且获取到密码后希望能够解密得到密码的明文，通过明文密码访问数据库后台，同时还能灵活的将账号密码推送到应用端，保证应用系统能够及时地连接到数据库。

作为进一步地实施，若选择的加密方式为无接触加密方式，则执行如下操作：

对操作者进行权限校验，因为只有由权限的人员才能操作；当权限校验通过后，选择需要进行数据库账号申请和密码加密的数据库集群，获取到数据库集群的详细信息；

根据数据库集群的详细信息，填入加密平台在配置中心的应用标识、集群名称和所属环境，且将账号和加密密码直接推送到配置中心，提供给相关应用访问；

根据加密平台是否需要访问多库的情形，按照多库规则将账号和密码推送到配置中心目标应用的配置项中；选择是否是多库，根据是否是多库来产生数据库账号的key和数据库密码的key。若是非多库的情况，数据库账号的配置项名称为spring.datasurce.username，数据库密码的配置项名称为spring.datasource.password。若是多库的情况，数据库账号的配置项名称为"spring.datasource."+集群名+".username",数据库密码的配置项名称为"spring.datasource."+集群名+".password"。

填入新的数据库账号名的后缀部分，其中数据库账号的命名规则为集群名+用户自定义的后缀；若该数据库账号在数据库中已经存在，则提示并重新填入数据库账号的后缀；

根据填入好的数据库账号，为数据库账号赋权限；权限包括以下集中：增删查改，可更新、不可删除，增删查改及执行函数，所有权限，只读，查询复制，增删查改，表创建和删除表；

以上信息准备好之后，由加密平台完成数据库账号和密码创建、数据库密码加密，及推送数据库账号和密码至配置中心。

作为进一步地实施，若选择的加密方式为平台加密方式，则执行如下操作：

对操作者进行权限校验，当权限校验通过后，进行授权功能：提供数据库账号以及该账号授予的权限，若该账号已经在数据库中存在，直接为该数据库赋权限；若该账号不存在，则在数据库中创建该账号，及为该账号设置密码并加密，同时为该账号赋权限；

进行数据库账号和密码复制：拉取出源集群中的所有数据库账号，并选择需要向目标集群复制的数据库账号，及提交给目标集群复制授权，实现将源集群数据库账号和密码复制给另外一个目标集群中；以及

将数据库账号和密码推送至配置中心，该点与无接触加密方式类似，但不同点在于选择当前集群中的数据库账号，将该账号即对应的密码推送到配置中心。

作为进一步地实施，配置中心给指定的数据库集群创建账号和密码，包括：

通过使用数据库的内置随机密码生成函数生成一个随机密码，同时根据传入的数据库账号的后缀构建数据库账号；检查该账号是否在数据库中存在的，若不存在，则执行下一步。若已存在，则直接结束整个流程回到步骤2，并提示操作者。

采用国密加密算法对生成的数据库密码进行加密；

获取当前集群的所有元数据信息，构造一个字典，其中字典包括字典名称和字典的值，字典名称为”ip:port”，字典的值为字典名称对应的数据库实例详情；如果不存在详情信息，则直接结束整个流程回到了第2步，并提示操作者。

根据构造的字典信息，遍历数据库集群中的每一个实例，与当前数据库实例建立连接，并执行创建用户的动作，在当前数据库实例上创建数据库账号和密码，并执行授权动作，为创建的新账号赋权限；

通过调用配置中心提供的http接口将数据库账号和加密的数据库密码加入到配置中心。请求体(存放了网络通信的数据)中必传账号和密码的属性名，以及对应的值。

作为进一步地实施，推送数据到配置中心后，由开发或应用运维人员在控制台进行配置发布。发布成功后应用系统就能实时的感知到使用的数据库配置的变化。

作为进一步地实施，该方法还包括：

应用终端的用户仅通过解密插件对数据库的密码进行解密，并通过解密后的密码与数据库建立连接。

具体地，应用程序从配置中心拉取最新的数据库账号和密码，密码使用应用终端依赖的插件，自动拦截应用程序与数据库建立连接的过程，在建立连接之前由插件自动解密，使用解密后的密码与数据库建立连接。

另外，与数据库建立连接后，应用程序对数据库做相关增删查改操作。

本发明实现了在信息系统的全生命周期中数据库加密，减少了非必要系统接触生产数据库账号密码明文，避免了工作人员接触数据库账号密码明文。有效的防止了数据库账号密码被窃取，提高了数据库信息安全。同时，本发明用于数据库账号密码的申请、复制、授权可视化；能高效实时的修改应用系统相关配置。

实施例2

如图2所示，本实施例与实施例1的区别在于，本实施例提供了一种在信息系统的全生命周期中数据库加密系统，该系统包括应用终端和服务端，服务端包括加密平台、配置中心、应用程序和数据库；应用终端通过网络前端页面连接加密平台，加密平台连接数据库，加密平台连接配置中心，配置中心连接应用程序，应用程序连接数据库；

应用终端，用于用户提交申请，申请为创建数据库账号和密码的工单申请；及通过解密插件对数据库的密码进行解密；

服务端，用于根据申请，加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据账号和密码进行数据库连接。

图3为本发明一种在信息系统的全生命周期中数据库加密系统的整体架构图，图3中user表示用户终端的用户，web-console表示网络前端页面，DB表示数据库。

其中，服务端的执行过程按照实施例1所述的一种在信息系统的全生命周期中数据库加密方法流程步骤执行即可，此实施例中不再一一赘述。

同时，本发明又提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述的一种在信息系统的全生命周期中数据库加密方法。

同时，本发明又一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现所述的一种在信息系统的全生命周期中数据库加密方法。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种在信息系统的全生命周期中数据库加密方法，其特征在于，该方法包括：

获取应用终端用户提交的申请，所述申请为创建数据库账号和密码的工单申请；

根据所述申请，服务端的加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据所述账号和密码进行数据库连接。

2.根据权利要求1所述的一种在信息系统的全生命周期中数据库加密方法，其特征在于，该方法还包括：

应用终端的用户仅通过解密插件对数据库的密码进行解密，并通过解密后的密码与数据库建立连接。

3.根据权利要求1所述的一种在信息系统的全生命周期中数据库加密方法，其特征在于，所述加密平台中维护有一套数据库的元数据信息，所述元数据信息描述集群组、集群和数据库实例三个维度。

4.根据权利要求1所述的一种在信息系统的全生命周期中数据库加密方法，其特征在于，服务端的加密平台依据不同的使用场景，提供不同的加密方式，包括：

对于生产环境，提供无接触加密方式；

对于测试环境，提供平台加密方式。

5.根据权利要求4所述的一种在信息系统的全生命周期中数据库加密方法，其特征在于，若选择的加密方式为无接触加密方式，则执行如下操作：

对操作者进行权限校验，当权限校验通过后，选择需要进行数据库账号申请和密码加密的数据库集群，获取到数据库集群的详细信息；

根据数据库集群的详细信息，填入加密平台在配置中心的应用标识、集群名称和所属环境，且将账号和加密密码直接推送到配置中心，提供给相关应用访问；

根据加密平台是否需要访问多库的情形，按照多库规则将账号和密码推送到配置中心目标应用的配置项中；

填入新的数据库账号名的后缀部分，其中数据库账号的命名规则为集群名+用户自定义的后缀；若该数据库账号在数据库中已经存在，则提示并重新填入数据库账号的后缀；

根据填入好的数据库账号，为数据库账号赋权限；所述权限包括：增删查改，可更新、不可删除，增删查改及执行函数，所有权限，只读，查询复制，增删查改，表创建和删除表；

由加密平台完成数据库账号和密码创建、数据库密码加密，及推送数据库账号和密码至配置中心。

6.根据权利要求4所述的一种在信息系统的全生命周期中数据库加密方法，其特征在于，若选择的加密方式为平台加密方式，则执行如下操作：

对操作者进行权限校验，当权限校验通过后，进行授权功能：提供数据库账号以及该账号授予的权限，若该账号已经在数据库中存在，直接为该数据库赋权限；若该账号不存在，则在数据库中创建该账号，及为该账号设置密码并加密，同时为该账号赋权限；

进行数据库账号和密码复制：拉取出源集群中的所有数据库账号，并选择需要向目标集群复制的数据库账号，及提交给目标集群复制授权，实现将源集群数据库账号和密码复制给另外一个目标集群中；以及

将数据库账号和密码推送至配置中心。

7.根据权利要求1所述的一种在信息系统的全生命周期中数据库加密方法，其特征在于，所述配置中心给指定的数据库集群创建账号和密码，包括：

通过使用数据库的内置随机密码生成函数生成一个随机密码，同时根据传入的数据库账号的后缀构建数据库账号；

采用国密加密算法对生成的数据库密码进行加密；

获取当前集群的所有元数据信息，构造一个字典，其中字典包括字典名称和字典的值，所述字典的值为字典名称对应的数据库实例详情；

根据构造的字典信息，遍历数据库集群中的每一个实例，与当前数据库实例建立连接，并执行创建用户的动作，在当前数据库实例上创建数据库账号和密码，并执行授权动作，为创建的新账号赋权限；

通过调用配置中心提供的http接口将数据库账号和加密的数据库密码加入到配置中心。

8.一种在信息系统的全生命周期中数据库加密系统，其特征在于，该系统包括应用终端和服务端，所述服务端包括加密平台、配置中心、应用程序和数据库；所述应用终端通过网络前端页面连接加密平台，加密平台连接数据库，加密平台连接配置中心，配置中心连接应用程序，应用程序连接数据库；

所述应用终端，用于用户提交申请，所述申请为创建数据库账号和密码的工单申请；及通过解密插件对数据库的密码进行解密；

所述服务端，用于根据所述申请，加密平台依据不同的使用场景，提供不同的加密方式；根据选择的加密方式，配置中心给指定的数据库集群创建账号和密码，并将账号和密码推送至应用程序；应用程序根据所述账号和密码进行数据库连接。

9.一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至7任一项所述的一种在信息系统的全生命周期中数据库加密方法。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的一种在信息系统的全生命周期中数据库加密方法。

Images