Clean Rooms 加密计算

Clean Rooms(C3R) 的加密计算是一种除了分析规则之外还可以 AWS Clean Rooms 使用的功能。借助 C3R，组织可以将敏感数据整合在一起，从数据分析中获得新的见解，同时以加密方式限制任何一方在流程中可以了解到的信息。C3R 可供想要协作处理其敏感数据但只需要在云中使用加密数据的两方或多方使用。

C3R 加密客户端是一种客户端加密工具，您可以使用它来加密数据以供使用。 AWS Clean Rooms使用 C3R 加密客户端时，数据在 AWS Clean Rooms 协作中使用时仍会受到加密保护。与常规 AWS Clean Rooms 协作一样，输入数据是关系数据库表，计算以 SQL 查询表示。但是，C3R 仅支持对加密数据的有限 SQL 查询子集。

具体而言，C3R 对受加密保护的数据支持 SQL JOIN 和 SELECT 语句。输入表中的每列只能用于以下 SQL 语句类型之一：

• 在 JOIN 语句中使用的受加密保护的列称为 fingerprint 列。

• 在 SELECT 语句中使用的受加密保护的列称为 sealed 列。

• 在 JOIN 或 SELECT 语句中使用的受加密保护的列称为 cleartext 列。

在某些情况下，fingerprint 列上支持 GROUP BY 语句。有关更多信息，请参阅 Fingerprint 列。目前，C3R 不支持对加密数据使用其他 SQL 构造，例如 WHERE 子句或 SUM 和 AVERAGE 之类的聚合函数，即使相关分析规则允许使用这些构造。

C3R 旨在保护表中各个单元格中的数据。使用 C3R 的默认配置，当内容在 AWS Clean Rooms中使用时，客户通过协作向第三方提供的底层数据将保持加密。C3R 对所有 sealed 列使用行业标准 AES-GCM 加密，并使用行业标准伪随机函数（称为 HMAC 散列消息认证码）来保护 fingerprint 列。

尽管 C3R 会对表中的数据进行加密，但仍可以推断出以下信息：

• 有关表本身的信息，包括表中的列数、列名和行数。

• 与大多数标准加密形式一样，C3R 不会尝试隐藏加密值的长度。C3R 确实提供了填充加密值以隐藏明文确切长度的功能。但是，仍然可以向另一方揭示每列明文长度的上限。

• 日志级别的信息，例如何时将特定行添加到加密的 C3R 表中。

有关 C3R 的更多信息，请参阅以下主题。

主题

• 使用 Clean Rooms 加密计算时的注意事项
• Clean Rooms 加密计算中支持的文件和数据类型
• Clean Rooms 加密计算中的列名
• Clean Rooms 加密计算中的列类型
• 加密计算参数
• Clean Rooms 加密计算中的可选标志
• 使用 Clean Rooms 加密计算进行查询
• C3R 加密客户端指南