跳到主要内容

数据脱敏配置

数据脱敏用于遮盖调用链和进程数据中的认证凭据、密码、密钥等敏感信息。平台对部分常见认证头默认脱敏，其余字段需通过自定义规则显式指定。调用链规则按服务范围生效，进程规则按主机范围生效。采集侧执行要求 SmartAgent 10.4.0 或更高版本。

核心能力​

  • 调用链数据保护：通过自定义规则遮盖 HTTP 请求头、POST 参数、响应头、Web 请求 URL、URL 路径及查询参数中的敏感值。
  • 进程数据保护：通过关键字规则遮盖环境变量、命令行（含启动参数）和虚拟机系统信息中的敏感属性。
  • 差异化生效范围：调用链规则支持全局生效或按服务、服务标签、进程组、进程组标签指定范围；进程规则支持全部主机或自定义主机范围。
  • 优先级规则引擎：支持创建多条规则并调整顺序，序号越小优先级越高，字段命中后即执行脱敏，不再匹配后续规则。
  • 固定遮盖方式：保留字段值第一个字符，其余字符替换为 *，脱敏结果不可逆。

使用场景​

场景一 认证请求头脱敏：调用链详情中包含 Authorization、Token 或 API Key 时，通过调用链脱敏规则遮盖对应请求头，避免认证凭据明文展示。

场景二 进程密码属性脱敏：进程详情中包含 SPRING_DATASOURCE_PASSWORD 等环境变量时，通过关键字规则遮盖属性值，满足运行环境敏感配置的保护要求。

场景三 分级管控不同范围：生产服务与测试服务、核心主机与普通主机需要采用不同保护范围时，分别配置服务范围或主机范围，避免无关对象受到规则影响。

开始使用​

前置准备​

在配置数据脱敏前，需完成以下准备：

  1. 确认探针版本：使用 SmartAgent 10.4.0 或更高版本，以便在采集侧执行脱敏。
  2. 确认保护对象：需要保护的字段位于调用链数据或进程数据中。
  3. 确认采集方式：ebPF Agent 采集的 Span 暂不支持调用链脱敏；Serverless 探针仅支持对全部主机生效的进程脱敏规则。
注意

日志内容脱敏不在本功能范围内。脱敏为单向不可逆，不支持解密还原。

进入数据脱敏​

进入部署配置 → 规则配置 → 数据安全 → 数据脱敏，选择调用链脱敏或进程脱敏页签。同一页面还提供网络请求脱敏和SQL 混淆页签。

  • 调用链脱敏作用于探针采集的 HTTP 请求头、HTTP POST 参数、HTTP 响应头、Web 请求 URL 等调用链级数据。
  • 进程脱敏作用于探针采集的环境变量、命令行（含启动参数）、虚拟机系统信息三类进程级数据。

创建调用链脱敏规则​

  1. 在调用链脱敏页面点击新建调用链脱敏规则。
  2. 填写规则名称，并配置选择范围：选择全局生效时对全部服务生效；选择自定义时，从服务、服务标签、进程组、进程组标签中至少选择一个对象，条件关系可设为“与”或“或”。
  3. 根据需要配置 URL 路径、请求参数、Request Header 参数或 Cookie 条件，进一步限定需要脱敏的请求。
  4. 在请求参数中选择参数来源并填写参数名：
    参数来源参数名配置
    HTTP request header精确填写请求头名称
    HTTP POST parameter精确填写表单或 JSON 字段名
    HTTP response header精确填写响应头名称
    Web request URL无需填写，规则遮盖完整 URL
    Web request URL path无需填写，规则遮盖 URL 路径
    Web request URL query parameter精确填写查询参数名
  5. 点击保存，规则按启用状态参与匹配。

Authorization、x-api-key、API_Key、api-key、X-Goog-Api-Key、X-Baidu-API-Key 和 X-TC-Token 已默认脱敏，无需重复配置。

1789723164969

创建进程脱敏规则​

  1. 在进程脱敏页面点击新建进程脱敏规则。
  2. 配置主机范围：选择全部主机或自定义主机范围。
  3. 选择属性来源：环境变量、命令行（含启动参数）或虚拟机系统信息。
  4. 输入属性名关键字。例如，*PASSWORD* 可匹配属性名中包含 PASSWORD 的字段，匹配时不区分大小写。
  5. 点击保存，规则按启用状态参与匹配。

使用 * 通配符时，除 * 外至少输入三个有效字符。Serverless 探针仅能命中全部主机规则。

1789723181610

管理规则​

调用链脱敏和进程脱敏规则均以列表形式展示，支持以下操作：

操作说明
调整优先级通过移动调整规则顺序，序号越小优先级越高，字段命中后不再匹配后续规则
启用/禁用控制规则是否参与匹配
编辑修改规则名称、生效范围、匹配条件或参数
删除删除不再使用的规则

1789723218183

特殊说明​

提示

遮盖方式不可修改：所有脱敏规则均保留首字符，其余字符替换为 *，不支持解密还原。

调用链条件限制：二次过滤不支持正则匹配；Web request URL 和 Web request URL path 在同一规则内各只能配置一次。

进程关键字匹配：进程属性关键字不区分大小写，使用通配符时至少包含三个有效字符。

采集限制：ebPF Agent 采集的 Span 暂不支持调用链脱敏；Serverless 探针仅支持全部主机规则。