场景二：跨域数据共享，解决原始数据被拷出
场景二：跨域数据共享，解决原始数据被拷出
问题与解法
政府机关或事业单位内部，一个部门要使用另一个部门的敏感业务数据。传统做法是把文件直接拷给对方部门。文件交出后，持有部门无法阻止对方复制、留存，或再转给其他部门。
数据安全柜不把原始数据作为文件交给使用部门，而是放在使用部门的部署主机上，只在安全域实例内解密使用。数据持有部门通过可见用户限定谁能进入该安全域，通过应用白名单限定哪些程序能读取数据，通过按文件导出决定哪些结果可以带出。分析汇总结果等经同意后才能取出，原始数据留在实例内。
场景案例
数据拥有方李华、数据使用方王芳分属同一政府机关或事业单位的两个部门。李华所在部门持有一批敏感业务数据，王芳所在部门按约定用途使用。
- 数据只用于双方约定的本次分析。
- 只有王芳的典枢号进入该安全域。
- 原始数据只在安全域实例内解密使用，不直接提供数据文件。
- 使用应用白名单，控制数据文件的使用。应用白名单可以只审批放行约定的分析程序。
cp、cat、tar、scp等拷贝、打包、外传命令不加入白名单。 - 数据导出需要审批，仅同意导出分析汇总结果。原始数据拒绝导出。
解决方案
原始数据只在王芳所在部门的部署主机上使用，并且只在安全域实例内解密。使用部门拿到的不是可随意复制的数据文件。共享边界三道控制，由数据拥有方配置：
- 可见用户。 李华创建安全域时只加入王芳的典枢号。未在名单上的人员看不到这个安全域，也不能申请实例。
- 应用白名单。 只有双方约定的分析程序可以读取实例内数据。
cp、cat、tar、scp等拷贝、打包、外传命令不加入白名单。这些命令访问实例内数据时会被拦截。 - 按文件导出。 需要带出实例的文件，由李华在文件导出详情里逐个同意或拒绝。汇总结果可以同意。原始数据、可还原明细拒绝导出，继续留在实例内。
解决步骤
1. 数据持有部门建立共享边界
李华在数据安全柜控制台创建安全域，将王芳的典枢号添加为可见用户。未在名单上的人看不到这个安全域。
操作参考： 快速入门 · 步骤一：卖方登录并创建安全域。
2. 使用部门在本部门环境申请实例
王芳在登录数据安全柜，查看安全域并创建安全域实例。李华审核通过后，实例状态为已授权。王芳启动实例。
实例在王芳所在部门的部署主机上运行。原始数据被限制在安全域内，使用部门不能直接拷出。
操作参考：
3. 数据拥有方将原始数据加密发送，使用部门解密使用
李华将数据加密为 .sealed 并发送。王芳凭码接收后导入实例。实例外的 .sealed 文件不能当明文打开。原始数据只在实例内解密，不能从实例里直接拷贝出去。
操作参考：
4. 按约定限定使用程序
王芳申请应用白名单，李华只通过约定的分析程序。该程序通过后，才能读取实例内数据。拷贝、打包、外传类命令不予通过，例如 cp、cat、tar、scp。未通过的命令访问实例内数据时会被拦截。
操作参考：
本场景中的白名单审核，只放行约定的分析程序。
5. 使用部门申请导出分析结果
王芳在实例内完成约定分析后，对需要导出的汇总结果提交导出申请。导出申请通过后，文件才可以出安全域实例。
操作见 快速入门 · 步骤九：买方申请导出文件。
6. 持有部门只放行结果文件
李华在数据安全柜控制台打开该安全域的文件导出审核，进入文件导出详情，按单个文件同意或拒绝。
操作参考：快速入门 · 步骤十：卖方审核导出申请。
按文件审核，在本场景中只同意分析汇总结果。
7. 使用部门取出已授权文件
王芳在数据安全柜中查看导出结果。状态为已授权的汇总结果可以取出。
操作见 快速入门 · 步骤十一：买方获取导出文件。
结果
王芳所在部门完成本次约定分析，拿到的是已授权的汇总结果。原始数据不可导出或拷贝。李华通过可见用户、应用白名单和按文件导出，避免数据交给另一个部门之后被拷出或再转出。