The problem
Sensible Spalten liegen im Klartext im Lakehouse
Datenträger- und Speicherverschlüsselung helfen nicht mehr, sobald eine Abfrage die Tabelle liest.
Kartennummern, E-Mail-Adressen und persönliche Kennungen landen in Databricks-Tabellen, die viele Nutzer, Notebooks und Pipelines lesen. Speicherverschlüsselung schützt die Dateien, nicht die Werte, die eine Abfrage zurückgibt. Maskieren oder Hashen zerstört meist Formate und Joins, also bleiben die Daten, wie sie sind.
Lesbar bei der Abfrage
Wer die Tabelle abfragen kann, sieht die echten Werte.
Zerstörte Formate
Hashing und Maskierung ändern Länge und Form, Joins und Prüfungen schlagen fehl.
Schlüssel nah an den Daten
Vom Cluster verwaltete Schlüssel liegen neben den Daten, die sie schützen.
Audit-Umfang
Jede Tabelle mit echten Kennungen vergrössert den Umfang einer Prüfung.
So funktioniert es
Zwei SQL-Funktionen in Unity Catalog. Der Schlüssel bleibt bei DuoKey.
DuoKey schützt einzelne Spalten einer Lakehouse-Tabelle, nicht Datenträger oder VMs. Die Einrichtung erzeugt Spark SQL, das die Funktionen tokenize und detokenize registriert; zur Abfragezeit rufen sie den Tokenisierungsdienst von DuoKey über HTTPS auf.
Einrichtung · einmal pro Workspace, aus Cockpit
DuoKey Cockpit
Workspace, Katalog, Schema
Erzeugtes Spark SQL
Sofort ausführbar
Unity Catalog
UDFs tokenize / detokenize
Abfragezeit · über HTTPS
Ihre SQL-Abfrage
Ruft tokenize() auf
DuoKey-Tokenisierung
Liefert das Token
Key Encryption Key
Verlässt DuoKey nie
Der Databricks-Cluster hat nie Zugriff auf den Key Encryption Key. Der Tokenisierungsschlüssel wird pro Mandant und benanntem Schlüssel aus einem Plattform-Masterschlüssel abgeleitet und nie in einem Vault gespeichert.
Formaterhaltend
Token, die die Form Ihrer Daten behalten
Ein Token hat dieselbe Länge und Zeichenstruktur wie der ersetzte Wert. Schemas, Abfragen, Joins und Formatprüfungen funktionieren auf tokenisierten Spalten weiter.
Kartennummern
16 Ziffern rein, 16 Ziffern raus
Eine 16-stellige Kartennummer wird zu einer anderen 16-stelligen Folge, die weiter in die Spalte passt.
E-Mail-Adressen
Trennzeichen bleiben
Eine Adresse behält ihr @ und die Domain-Trennzeichen, die Formatprüfung greift weiterhin.
Hin und zurück
detokenize()
Die Detokenisierung liefert den Originalwert im selben Format zurück.
Einrichtung
Von Cockpit zu laufenden UDFs in fünf Schritten
- 01
Ziel angeben
Workspace-URL, Zielkatalog und -schema sowie einen Datentyp-Hinweis für die Spalten eingeben.
- 02
SQL erhalten
DuoKey liefert SQL, das Katalog und Schema bei Bedarf anlegt und die UDFs registriert.
- 03
API-Token hinterlegen
Ein Databricks-Secret mit einem DuoKey-API-Token anlegen und Spark über die Cluster-Konfiguration bereitstellen.
- 04
DDL ausführen
Die erzeugten Anweisungen im Zielkatalog und -schema ausführen.
- 05
Hin und zurück prüfen
Einen Testwert tokenisieren und detokenisieren und prüfen, ob das Original zurückkommt.
Betrieb
Die Integration aus Cockpit prüfen
Die Integration liegt im Apps-Katalog von Cockpit. Derselbe Tokenisierungsdienst steht auf der Seite Tokenization auch als Snowflake- und als generische Secret-Variante bereit.
Aktivieren oder deaktivieren
Die Integration in Cockpit ein- oder ausschalten.
Health Check
Meldet Konfiguration und Bereitschaft, auch ob die UDF-Vorlage vorhanden ist.
Selbsttest
Bestätigt, dass der Key Encryption Key bei DuoKey bleibt, nie in Databricks.
Spaltengenau
Nur die tokenisierten Spalten ändern sich, der Rest der Tabelle bleibt unverändert.
Das Entfernen der Integration detokenisiert Ihre Daten nicht
Die UDFs werden deaktiviert, bereits als Token geschriebene Werte bleiben aber Token. Detokenisieren Sie vorher, was Sie im Klartext brauchen, oder lassen Sie den Tokenisierungsdienst verfügbar.
- Einen Databricks-Workspace mit Unity Catalog
- Das Recht, das erzeugte DDL im Zielkatalog und -schema auszuführen
- Einen DuoKey-Benutzer mit Tokenisierungszugriff und einen API-Token
- Das Recht, ein Databricks-Secret anzulegen und die Cluster-Konfiguration zu ändern
Tiefenanalysen
Leitfäden für Ihr Programm
Kontakt
Sensible Spalten schützen, ohne das Schema zu ändern
Sehen Sie tokenize und detokenize in Ihrem eigenen Unity Catalog, mit dem Schlüssel bei DuoKey.
Demo anfragenSprechen Sie über die Entscheidungen, die für Ihr Sicherheitsprogramm zählen.
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.