Paramètres de calcul cryptographique

Les paramètres de calcul cryptographique sont disponibles pour les collaborations utilisant Cryptographic Computing for Clean Rooms (C3R) lors de la création d'une collaboration. Vous pouvez créer une collaboration à l'aide de la AWS Clean Rooms console ou de l'CreateCollaborationAPI. Dans la console, vous pouvez définir des valeurs pour les paramètres dans Paramètres de calcul cryptographique après avoir activé l'option Support de calcul cryptographique. Pour plus d’informations, consultez les rubriques suivantes.

Paramètre Autoriser cleartext les colonnes

Dans la console, vous pouvez définir le paramètre Autoriser les cleartext colonnes lors de la création d'une collaboration afin de spécifier si cleartext les données sont autorisées dans une table contenant des données chiffrées.

Le tableau suivant décrit les valeurs du paramètre Autoriser cleartext les colonnes.

Valeur de paramètre	Description
Non	Cleartextles colonnes ne sont pas autorisées dans la table cryptée. Toutes les données sont protégées par cryptographie.
Oui	Cleartextles colonnes sont autorisées dans la table cryptée. Cleartextles colonnes ne sont pas protégées par cryptographie et sont incluses en tant quecleartext. Vous devez prendre note de ce que les cleartext données de vos lignes peuvent révéler à propos des autres données du tableau. Pour fonctionner SUM ou AVG sur des colonnes spécifiques, les colonnes doivent être inséréescleartext.

À l'aide de l'opération CreateCollaboration API, pour le dataEncryptionMetadata paramètre, vous pouvez définir la valeur de allowCleartext to true oufalse. Pour plus d'informations sur les opérations d'API, consultez la référence des AWS Clean Rooms API.

Cleartextles colonnes correspondent aux colonnes classées selon le schéma spécifique cleartext à la table. Les données de ces colonnes ne sont pas cryptées et peuvent être utilisées de quelque manière que ce soit. Cleartextles colonnes peuvent être utiles si les données ne sont pas sensibles et/ou si une plus grande flexibilité est requise par rapport à une sealed colonne ou à une fingerprint colonne cryptée.

Paramètre Autoriser les doublons

Dans la console, vous pouvez définir le paramètre Autoriser les doublons lors de la création d'une collaboration afin de spécifier si les colonnes chiffrées pour les JOIN requêtes peuvent contenir des NULL non-valeurs dupliquées.

Important

Les paramètres Autoriser les doublons, Autoriser les colonnes portant JOIN des noms différents et Préserver NULL les valeurs ont des effets distincts mais connexes.

Le tableau suivant décrit les valeurs du paramètre Autoriser les doublons.

Valeur de paramètre	Description
Non	Les valeurs répétées ne sont pas autorisées dans une fingerprint colonne. Toutes les valeurs d'une seule fingerprint colonne doivent être uniques.
Oui	Les valeurs répétées sont autorisées dans une fingerprint colonne. Si vous devez joindre des colonnes contenant des valeurs répétées, définissez cette valeur sur Oui. Lorsque cette option est définie sur Oui, les modèles de fréquence apparaissant dans les fingerprint colonnes de la table C3R ou des résultats peuvent impliquer des informations supplémentaires sur la structure des cleartext données.

À l'aide de l'opération CreateCollaboration API, pour le dataEncryptionMetadata paramètre, vous pouvez définir la valeur de allowDuplicates to true oufalse. Pour plus d'informations sur les opérations d'API, consultez la référence des AWS Clean Rooms API.

Par défaut, si des données chiffrées doivent être utilisées dans les JOIN requêtes, le client de chiffrement C3R exige que ces colonnes ne contiennent aucune valeur dupliquée. Cette exigence vise à renforcer la protection des données. Ce comportement permet de garantir que les modèles répétés dans les données ne sont pas observables. Toutefois, si vous souhaitez utiliser des données chiffrées dans des JOIN requêtes et que vous n'êtes pas préoccupé par les valeurs dupliquées, le paramètre Autoriser les doublons peut désactiver cette vérification conservatrice.

Paramètre JOIN d'autorisation des colonnes avec des noms différents

Dans la console, vous pouvez définir le paramètre Autoriser les colonnes JOIN portant des noms différents lors de la création d'une collaboration afin de spécifier si les JOIN instructions entre des colonnes portant des noms différents sont prises en charge.

Pour plus d’informations, consultez Normalisation des noms d'en-têtes de colonnes .

Le tableau suivant décrit les valeurs du paramètre Autoriser JOIN les colonnes portant des noms différents.

Valeur de paramètre	Description
Non	Les jointures de fingerprint colonnes portant des noms différents ne sont pas prises en charge. JOINles instructions ne fournissent des résultats précis que pour les colonnes portant le même nom. Important La valeur Non renforce la sécurité des informations mais oblige les participants à la collaboration à se mettre d'accord au préalable sur les noms des colonnes. Si deux colonnes portent des noms différents lorsqu'elles sont cryptées sous forme JOINde fingerprint colonnes et que l'option Autoriser les colonnes portant des noms différents est définie sur Non, les JOIN instructions sur ces colonnes ne produisent aucun résultat. Cela est dû au fait qu'aucune valeur n'est partagée entre eux après le chiffrement.
Oui	Les jointures de fingerprint colonnes portant des noms différents sont prises en charge. Pour plus de flexibilité, les utilisateurs peuvent définir cette valeur sur Oui, ce qui autorise les JOIN instructions sur les colonnes quel que soit le nom de la colonne. S'il est défini sur Oui, le client de chiffrement C3R ne prend pas en compte le nom de colonne lors de la protection des fingerprint colonnes. Par conséquent, les valeurs communes aux différentes fingerprint colonnes sont observables dans le tableau C3R. Par exemple, si une ligne possède la même JOIN valeur chiffrée à la fois dans une City colonne et dans une State colonne, il peut être raisonnable de déduire que cette valeur est New York la même.

À l'aide de l'opération CreateCollaboration API, pour le dataEncryptionMetadata paramètre, vous pouvez définir la valeur de allowJoinsOnColumnsWithDifferentNames to true oufalse. Pour plus d'informations sur les opérations d'API, consultez la référence des AWS Clean Rooms API.

Par défaut, le chiffrement des fingerprint colonnes est affecté par le targetHeader paramètre pour cette colonne, défini dansÉtape 4 : générer un schéma de chiffrement pour un fichier tabulaire . Par conséquent, la même cleartext valeur possède des représentations cryptées différentes dans chaque fingerprint colonne pour laquelle elle est cryptée.

Ce paramètre peut être utile pour empêcher l'inférence de cleartext valeurs dans certains cas. Par exemple, le fait de voir la même valeur cryptée dans City des fingerprint colonnes State peut être utilisé pour déduire raisonnablement que la valeur estNew York. Cependant, l'utilisation de ce paramètre nécessite une coordination supplémentaire à l'avance, de sorte que toutes les colonnes à joindre dans les requêtes portent des noms communs.

Vous pouvez utiliser le paramètre Autoriser JOIN les colonnes portant des noms différents pour assouplir cette restriction. Lorsque la valeur du paramètre est définie surYes, toutes les colonnes cryptées peuvent JOIN être utilisées ensemble, quel que soit leur nom.

Paramètre de conservation NULL des valeurs

Dans la console, vous pouvez définir le paramètre Conserver NULL les valeurs lors de la création d'une collaboration pour indiquer qu'aucune valeur n'est présente pour cette colonne.

Le tableau suivant décrit les valeurs du paramètre Conserver NULL les valeurs.

Valeur de paramètre	Description
Non	NULLles valeurs ne sont pas préservées. NULLles valeurs n'apparaissent pas comme NULL dans une table cryptée. NULLles valeurs apparaissent sous forme de valeurs aléatoires uniques dans une table C3R.
Oui	NULLles valeurs sont préservées. NULLles valeurs apparaissent comme NULL dans une table cryptée. Si vous avez besoin d'une sémantique SQL pour les NULL valeurs, vous pouvez définir cette valeur sur Oui. Par conséquent, NULL les entrées apparaissent comme NULL dans la table C3R, que la colonne soit cryptée ou non et quel que soit le paramètre défini pour Autoriser les doublons.

À l'aide de l'opération CreateCollaboration API, pour le dataEncryptionMetadata paramètre, vous pouvez définir la valeur de preserveNulls to true oufalse. Pour plus d'informations sur les opérations d'API, consultez la référence des AWS Clean Rooms API.

Lorsque le paramètre Conserver NULL les valeurs est défini sur Non pour la collaboration :

1. NULLles entrées dans cleartext les colonnes restent inchangées.

2. NULLles entrées dans les fingerprint colonnes cryptées sont cryptées sous forme de valeurs aléatoires afin de masquer leur contenu. Le fait de rejoindre une colonne cryptée avec des NULL entrées dans la cleartext colonne ne produit aucune correspondance pour aucune des NULL entrées. Aucune correspondance n'est établie car ils reçoivent chacun leur propre contenu aléatoire unique.

3. NULLles entrées dans les sealed colonnes cryptées sont cryptées.

Lorsque la valeur du paramètre Conserver les NULL valeurs est définie sur Oui pour la collaboration, les NULL entrées de toutes les colonnes restent inchangées, que la colonne NULL soit cryptée ou non.

Le paramètre Conserver NULL les valeurs est utile dans des scénarios tels que l'enrichissement des données, dans lesquels vous souhaitez partager un manque d'informations exprimé sous la formeNULL. Le paramètre Conserver NULL les valeurs est également utile au fingerprint format HMAC si vous avez des NULL valeurs dans la colonne que vous souhaitez JOIN ouGROUP BY.

Si la valeur des paramètres Autoriser les doublons et Préserver NULL les valeurs est définie sur Non, la présence de plusieurs NULL entrées dans une fingerprint colonne génère une erreur et arrête le chiffrement. Si la valeur de l'un des paramètres est définie sur Oui, aucune erreur de ce type ne se produit.