KeeperDB 与 DBeaver：安全数据库访问对比

KeeperDB 根据其运行方式的不同，会以不同方式处理凭据。在独立的桌面应用中，用户使用 Face ID 或 Windows Hello 进行身份验证，连接直接从 Keeper Secrets Manager 获取凭据，因此无需在客户端中键入或复制密码。当 KeeperDB 通过 Keeper 保管库或 KeeperDB Proxy 运行时，连接完全无需密码：用户从保管库启动会话，凭据在 Keeper 的零知识、零信任环境中处理，且会话在零信任加密隧道内运行，因此任何信息都不会触及本地计算机。

保管库和代理路径消除了最常见的数据库攻击向量：存储在本地配置文件、环境变量或共享连接字符串中的凭据。

当 KeeperDB 在保管库中运行时，它会完整记录每个数据库会话，并在保管库中进行集中管理。每一次查询、每一项操作、每一次会话都会被记录为不可篡改的审计证据。这些记录可用于受监管行业的监控、调查和合规性检查。KeeperAI 还包含加密的活动摘要，使审计变得更轻松。

由于录制功能已内置于保管库访问路径中，因此一旦通过 KeeperPAM 部署 KeeperDB，录制功能就会自动应用于每个会话，管理员无需为每个会话单独设置即可切换录制功能。独立桌面应用是一个可正常使用的客户端，但其本身不具备会话录制功能；需要完整录制功能的团队可通过保管库路由 KeeperDB，或通过 KeeperDB Proxy 连接现有客户端。

通过保管库部署时，KeeperDB 的访问权限由与 KeeperPAM 其他部分相同的集中式策略引擎进行管理。数据库访问权限根据用户和角色身份进行划分，即时授予，并与组织更广泛的特权访问控制相关联。同一个保管库既管理密码、机密和特权会话，也控制谁可以访问哪个数据库。

这意味着数据库访问不再是一个拥有独立权限模型的孤岛。它继承了平台中现有的身份治理、基于角色的访问控制 (RBAC) 和审批工作流。

这款独立的桌面应用可在 Mac、Windows 和 Linux 上原生运行，适用于需要桌面性能和能够超越传统客户端的工具的团队。它通过 Face ID 或 Windows Hello 进行身份验证，可直接与 Keeper Secrets Manager 集成以检索保管库凭据，提供现代化的用户界面，并内置了一个可在客户首选的 LLM 上运行的 AI 智能体。它可以通过 Keeper 隧道或 KeeperDB 代理直接连接到操作系统原生安全存储中的凭据，KeeperDB Proxy 在网关端获取凭据，因此用户永远不会看到或输入这些凭据。

嵌入模式通过加密的零信任隧道，直接从浏览器中的 Keeper 保管库启动。无需 VPN 或本地设置，数据库会话将以可视化方式投影到本地保管库中，而无需直接接触用户的计算机。此配置适用于受监管的零信任环境，在使用相同客户端的同时，增加了会话录制、查询日志记录、治理和即时 (JIT) 访问功能。

KeeperAI 内置于 KeeperDB 中，并具有完整的模式上下文。它可以回答自然语言问题，自主编写并运行查询，根据实时结果集生成图表，探索现有 SQL，并从监视器中对性能问题进行分类。只读查询会自动运行；任何写入命令都会弹出确认窗口，因此用户始终是审批人。服务器端的防护措施将其范围限制在数据库工作范围内，并阻止生成与主题无关的代码，即使在提示符注入的情况下也是如此。

管理员可以将 KeeperAI 固定到自己的 Azure OpenAI、AWS Bedrock 或 Vertex AI 端点，从而确保提示和架构永远不会离开其网络。当 KeeperDB 在保管库中运行时，每一条 AI 执行的语句都会像人类输入的查询一样记录在会话中。

KeeperDB 通过原生驱动程序支持 PostgreSQL、MySQL/MariaDB、SQL Server、Oracle、Redshift 和 SQLite，无需 ODBC 或 JDBC 桥接器。该界面包含一个支持多语句执行的查询编辑器、一个支持 CSV/JSON/SQL 导出的可编辑数据网格、ER 图以及一个便笺笔记本。

其内置性能监控功能包括：活跃进程列表、阻塞链、锁分析，以及除 SQLite 外所有受支持引擎的一键终止会话功能。