数据库与密钥

数据库和密钥决定了 Crest 的长期可维护性。测试环境可以使用安装包内置数据库，正式环境建议使用企业统一维护的 MySQL，并将数据库账号、密码、AES Key、AES IV 和国密模式下的 SM4 Key 纳入密钥管理流程。

这类配置不适合频繁变更。数据库连接、管理员密码和加密密钥一旦进入生产环境，就会影响历史数据、数据源密码、SSO Secret、备份恢复和升级迁移。上线前要设计好，变更时要有维护窗口和回滚方案。

哪些配置属于敏感配置

外部 MySQL 建议

正式环境建议数据库满足以下条件：

数据库账号不要复用 root。建议为 Crest 单独创建账号，只授予 Crest 数据库的读写权限。

CREATE DATABASE crest DEFAULT CHARACTER SET utf8mb4;
CREATE USER 'crest'@'%' IDENTIFIED BY 'replace-with-strong-password';
GRANT ALL PRIVILEGES ON crest.* TO 'crest'@'%';
FLUSH PRIVILEGES;

如果企业数据库账号需要按最小权限拆分，应由 DBA 根据 Crest 的实际迁移和读写需求确认授权范围。不应将 DBA 高权限账号配置到应用中，也不应在公开截图中暴露数据库主机名和账号。

修改数据库连接

加密模式与密钥

Crest 提供 standard 和 sm-suite 两种加密模式。standard 是默认模式；需要 SM2、SM3、SM4 的项目，可以在部署时设置 CREST_CRYPTO_MODE=sm-suite。

sm-suite 模式下，登录传输使用 SM2，密码使用 SM3 迭代哈希，敏感配置使用带随机 IV 和 HMAC-SM3 完整性校验的 SM4 密文保存。业务用户不需要改变操作习惯，仍然按原流程使用数据源、数据集、仪表盘、大屏、分享和导出。

建议做法：

• 使用足够随机的 AES Key、AES IV 和 SM4 Key。
• 不把 Key、IV、SM4 Key 写进公开文档、聊天记录或普通工单。
• 密钥变更必须有审批、备份、验证和回滚记录。
• Kubernetes 环境使用 Secret 管理，不写入 ConfigMap。

管理员密码

首次登录后应进入“修改密码”页面更新管理员密码。

修改密码页面是管理员交付流程中的必做步骤。安装完成后，如果继续使用初始密码，后续难以判断账号是否被多人使用过。建议初始密码只交给第一位平台负责人，由负责人登录后立即修改。

密码管理建议：

1. 管理员账号不要多人共用。
2. 初始密码只用于首次登录。
3. 离职、转岗或权限调整后及时禁用账号或回收角色。
4. 对外暴露环境必须配合 HTTPS 使用。

变更后检查

密钥保管建议