Verwenden von SQL zum Einrichten der Klassifizierung sensibler Daten¶

Grundlegendes Beispiel: Automatisches Klassifizieren von Tabellen in einer Datenbank¶

Führen Sie diese Schritte aus, um eine Tabelle in der Datenbank automatisch zu klassifizieren:

1. Admins geben den Data Engineers die Rollen und Berechtigungen, die nötig sind, um Tabellen in einer Datenbank automatisch zu klassifizieren.

   USE ROLE ACCOUNTADMIN;
   
   GRANT USAGE ON DATABASE mydb TO ROLE data_engineer;
   GRANT EXECUTE AUTO CLASSIFICATION ON DATABASE mydb TO ROLE data_engineer;
   
   GRANT DATABASE ROLE SNOWFLAKE.CLASSIFICATION_ADMIN TO ROLE data_engineer;
   GRANT CREATE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE ON SCHEMA mydb.sch TO ROLE data_engineer;
   
   GRANT APPLY TAG ON ACCOUNT TO ROLE data_engineer;
   

   Copy

2. Wechseln Sie in die Rolle des Data Engineers:

   USE ROLE data_engineer;
   

   Copy

3. Erstellen Sie das Klassifizierungsprofil als eine Instanz der Klasse CLASSIFICATION_PROFILE:

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 0,
         'maximum_classification_validity_days': 30,
         'auto_tag': true,
         'classify_views': true
       });
   

   Copy

4. Rufen Sie die Methode DESCRIBE für die Instanz auf, um ihre Eigenschaften zu bestätigen:

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

5. Legen Sie die Instanz des Klassifizierungsprofils für das Schema fest, die im Hintergrund den Prozess der Überwachung der Tabellen im Schema und deren automatische Klassifizierung auf sensible Daten startet.

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

   Bemerkung

   Zwischen dem Einstellen des Klassifizierungsprofils für das Schema und dem Beginn der Klassifizierung des Schemas durch Snowflake vergeht eine Stunde.

6. Nachdem Sie eine Stunde gewartet haben, rufen Sie die gespeicherte Prozedur SYSTEM$GET_CLASSIFICATION_RESULT auf, um die Ergebnisse der automatischen Klassifizierung zu erhalten.

   CALL SYSTEM$GET_CLASSIFICATION_RESULT('mydb.sch.t1');
   

   Copy

Beispiel: Verwendung einer Tag-Zuordnung und benutzerdefinierter Klassifikatoren¶

1. Admins geben den Data Engineers die Rollen und Berechtigungen, die nötig sind, um Tabellen in einer Datenbank automatisch zu klassifizieren und Tags für Spalten festzulegen.

2. Erstellen Sie das Klassifizierungsprofil.

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 0,
         'maximum_classification_validity_days': 30,
         'auto_tag': true,
         'classify_views': true
       });
   

   Copy

3. Rufen Sie die Methode SET_TAG_MAP für die Instanz auf, um eine Tag-Zuordnung zum Klassifizierungsprofil hinzuzufügen. Dadurch können benutzerdefinierte Tags automatisch auf Spalten angewendet werden, die sensible Daten enthalten.

   CALL my_classification_profile!SET_TAG_MAP(
     {'column_tag_map':[
       {
         'tag_name':'my_db.sch1.pii',
         'tag_value':'sensitive',
         'semantic_categories':['NAME']
       }]});
   

   Copy

   Alternativ hätten Sie diese Zuordnung auch bei der Erstellung des Klassifizierungsprofils hinzufügen können.

4. Rufen Sie die Methode SET_CUSTOM_CLASSIFIERS auf, um benutzerdefinierte Klassifizierer zum Klassifizierungsprofil hinzuzufügen. So können sensible Daten automatisch mit vom Benutzer definierten semantischen und datenschutzrechtlichen Kategorien klassifiziert werden.

   CALL my_classification_profile!set_custom_classifiers(
     {
       'medical_codes': medical_codes!list(),
       'finance_codes': finance_codes!list()
     });
   

   Copy

   Alternativ hätten Sie die benutzerdefinierten Klassifikatoren auch bei der Erstellung des Klassifizierungsprofils hinzufügen können.

5. Rufen Sie die Methode DESCRIBE für die Instanz auf, um zu bestätigen, dass die Tag-Map und die benutzerdefinierten Klassifikatoren dem Klassifizierungsprofil hinzugefügt wurden.

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

6. Legen Sie die Instanz des Klassifizierungsprofils für die Datenbank fest.

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

7. Weisen Sie dem Tag tag_db.sch.pii eine Maskierungsrichtlinie zu, um die tagbasierte Maskierung zu aktivieren.

   ALTER TAG tag_db.sch.pii SET MASKING POLICY pii_mask;
   

   Copy

Beispiel: Testen eines Klassifizierungsprofils vor der Aktivierung der automatischen Klassifizierung¶

1. Geben Sie als Administrator dem Data Engineer die Rollen und Berechtigungen, die er benötigt, um Tabellen in einem Schema automatisch zu klassifizieren und Tags für Spalten zu setzen.

2. Erstellen Sie das Klassifizierungsprofil mit einer Tag-Zuordnung und benutzerdefinierten Klassifikatoren:

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE my_classification_profile(
     {
       'minimum_object_age_for_classification_days':0,
       'auto_tag':true,
       'tag_map': {
         'column_tag_map':[
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'highly sensitive',
             'semantic_categories':['NAME','NATIONAL_IDENTIFIER']
           },
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'sensitive',
             'semantic_categories':['EMAIL','MEDICAL_CODE']
           }
         ]
       },
       'classify_views': true
       'custom_classifiers': {
         'medical_codes': medical_codes!list(),
         'finance_codes': finance_codes!list()
       }
     }
   );
   

   Copy

3. Rufen Sie die gespeicherte Prozedur SYSTEM$CLASSIFY auf, um die Tag-Zuordnungen in der Tabelle table1 zu testen, bevor Sie die automatische Klassifizierung aktivieren.

   CALL SYSTEM$CLASSIFY(
    'db.sch.table1',
    'db.sch.my_classification_profile'
   );
   

   Copy

   Der Schlüssel tags in der Ausgabe enthält die Details darüber, ob das Tag gesetzt wurde (true wenn gesetzt, false andernfalls), den Namen des Tags, der gesetzt wurde, und den Wert des Tags:

   {
     "classification_profile_config": {
       "classification_profile_name": "db.schema.my_classification_profile"
     },
     "classification_result": {
       "EMAIL": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "EMAIL",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "EMAIL"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       },
       "FIRST_NAME": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "NAME",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "NAME"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "highly sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       }
     }
   }
   

4. Nachdem Sie sich vergewissert haben, dass die automatische Klassifizierung auf der Grundlage des Klassifizierungsprofils zum gewünschten Ergebnis führt, legen Sie die Instanz des Klassifizierungsprofils in der Datenbank fest.

   ALTER DATABASE mydb
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy