如何使用 CloudQuery 对 100+ 套数据库进行安全管控？
业务挑战
A 集团信息部门发展将近 10 年，从最初的一个 MySQL 数据库到现在鱼龙混杂什么数据库都有，其中仓库部门用了 PostgreSQL 做数据底座，历史原因问题，生产系统却是使用 Oracle。基于信创的需求，上级领导要求试点国产数据库 GaussDB 以及 OceanBase。
简单疏理一下需求：
- MySQL 版本有 MySQL 5.1 、MySQL 5.6、MySQL 5.7、MySQL 8.0 系列。不同系列的 MySQL 版本有将 50 多套。
- PostgreSQL 版本有 PostgreSQL 9x、PostgreSQL 10x、PostgreSQL 11x、PostgreSQL 12x、PostgreSQL 16x 等等，不同的 PostgreSQL 版本有将 20 多套。
- Oracle 统计有 Oracle11G 以及 Oracle12C。GaussDB 以及 OceanBase 加起来也有 5、6个 版本。
- 上面所有的 TP 数据库加起来一共 100 套，还没有算上 AP 数据库【Greeplum、Vertia】。
按照传统的管理方式，要招好几个专业的 DBA 管理不同的数据库，如果需要一个 DBA 完成，这个 DBA 是百中无一。数据库只是一个容器，我们希望数据库配合治理需求实现全链路的监控，支持企业安全管理的功能，例如数据加密、数据脱敏、数据审计等等 。这样的 DBA 是万中无一。
通过 CloudQuery 能够轻松解决以上问题， CloudQuery 使任何一位 DBA 成为万中无一的高手。
解决方案
CloudQuery 是一个一体化数据库管控系统，通过统一信息管理系统入口，对于数据库管理资源进行整顿审核 ，一方是公司管理者负责资源的控制管理，一方是使用者按照公司的管理流程使用数据库，使用者主要是数据库工程师、应用工程师，公司管理者是项目经理、高级数据库工程师。
下面是官方更详细的介绍：
CloudQuery 提供一站式数据库开发与运维平台，实现数据库访问入口统一、管理入口统一，对数据库访问行为进行统一、安全管控。
全方位管控数据使用人 …
从用户登录阶段的双因素认证，到事前管控权限分配、操作过程中的过滤、脱敏、高危阻断等访问限制，再到事后行为审计，以及全流程中的防导出、防下载、防复制等数据保护措施，CloudQuery 的安全管控贯穿整个数据生命周期，全方位管控数据使用人。
敏感数据防泄漏 …
针对敏感数据保护要求，CloudQuery 能主动识别数据库敏感数据资产，针对敏感资源做脱敏显示，脱敏规则丰富，同时支持自定义，无须改变生产数据库中的数据，即可依据用户级别、数据级别，对数据库返回数据进行差异化脱敏，有效防止敏感数据被导出发生泄漏。
全链路管制防拖库/拖表 …
通过自研 Web 客户端 + SAAS 化数据库操作，可限制操作人员直接接触目标数据库及获取数据库连接信息 ，同时配合防火墙收敛用户操作入口，分析引擎通过量/时间两个维度实现自动升降权以及高危动作的告警，多维度全链路管制防拖库/拖表。
智能 SQL 编辑器 …
支持开发人员在同一界面、同一设计、同一操作风格中管理不同数据源；支持关键词高亮、语法提示、SQL美化、查看执行计划等功能；平台会对编写的SQL语句进行SQL解析，拦截SQL越权操作，防止无权限用户访问数据库信息
实战使用
软件安装 …
官网下载：https://www.cloudquery.club/download
点击离线下载后，解压，进入
安装过程中，会自动安装 docker，执行安装各种容器，理解的状态如下：
最后访问80端口， http://ip:80
默认用户 admin001 默认密码 Hello123$
确证后端服务的状态，全部绿灯代表安装成功。
Demo 案例：DBA 与项目经理的全新互动 …
公司管理员注册一个使用者【即 DBA】，命名 dba1
公司管理员新建一个数据库连接,这里是 MySQL 的数据源。
公司管理员授权，数据源 MySQL 与 4 个用户进行绑定
公司管理员设置，资源中指定的数据库【MySQL 源的 dba1 数据库】对外激活，其它系统库不激活，没有激活使用者无法审请查找资源。 数据库管理-连接管理 - 数据源-资源管理-状态。
使用者【DBA】正常登录，第一次会重置密码，访问审请->资源搜索。
指定资源名称 dba1， 点击加入申请单。
使用者生成申请单。
使用者提交申请。
公司管理员处理申请的工单，填上审批意见并加时间 ，我的申请->。
审批可以拥有多个控制流程。
使用者现在可以正式访问数据库。
公司管理者也可以在后台查看使用者的行为。
总结
回顾资源使用者与公司管理者的交互流程，两者的司职责任。
- 公司管理者创建资源使用者的名称。【建立用户、角色】
- 公司管理者定义数据源连接的名称。【建立数据资源名称】
- 公司管理者声明资源可由哪些人使用。【数据资源绑定用户】
- 公司管理者指定资源开放的权限。【数据资源粒度粗细】
- 公司管理者审批使用者发出的工单。【工单控制管理系统审批】
- 公司管理者根据数据资产设置不同的权限和流程【工单控制管理节点】
- 资源使用者通过工单审请各种资源 【与公司管理者的沟通渠道】
- 资源使用者执行日常工作【DBA、开发者的日常工作】
- 资源使用者提交数据变更【此处是对生产环境】
评价如下：
- 通过 CloudQuery 作为中间层，实现资源使用者与公司管理者解耦，从上面流程来看，解耦还算比彻底，两者的边界还算清晰。
- 从用户、权限、角色的分组分类来看，感觉 CloudQuery 对于综合一体业务还是非常了解的， 这个点赞加分。
- WEB 界面清晰，显然用了精心的打磨，资源稍缺丰富，但是基本的监控对象都在列表之内。
- 美中不足的 CloudQuery 的硬件最少需要 16G内存，笔者尝试开了 10G 的虚拟机，服务不能起来，直至 16G 才能够勉强使用起来，还是太重量级了。
- 工单控制管理方面，这个是 CloudQuery 的重头戏，笔者使用过不少的 OA 系统，现在来看 CloudQuery在这里还是有进步的提升的空间，也许以后发展成熟作为商业版功能。
- 数据加密、数据脱敏、数据资产保护是 CloudQuery 做为中间件的一大亮点，未来 CloudQuery 应该强化资产方面的功能，这里有很多东西可以做的，例如主数据、元数据、数据质量等等。
CloudQuery 官网：https://www.cloudquery.club
CloudQuery 文档：https://bintools.yuque.com/org-wiki-bintools-xniowl/do4ums
关于 CloudQuery
CloudQuery 是一款面向企业的云原生一体化数据库管控平台。致力于为开发者、数据资产管理者等技术人员，打造一个一站式安全可控的数据操作平台，CloudQuery 赋予用户仅通过一个 web 浏览器，即可实现数据安全访问、数据分析治理、数据脱敏等各类复杂场景的能力。
CloudQuery 核心能力
- 自研数据库客户端：多种数据库，一个管理和开发工具。
- 支持多类型数据库：覆盖 OceanBase、Oracle、Mysql、PostgreSQL、HIVE、达梦等20多种数据库，并在不断迭代中。
- 用户统一管理：一个组织身份账户，即可访问所有数据源，简化数据库管理工作。
- 数据泄漏防护：依据数据安全法要求有效保护企业数据，避免数据泄露和滥用。
- 高危操作拦截：操作语句逐条解析，支持多种高危行为识别与拦截。
- 终端安全防护：避免传统数据库客户端导致的账号泄漏、数据泄漏、版权问题。
- …