Verwenden der externen Tokenisierung¶

Schritt 1: Externe Funktion erstellen¶

Erstellen Sie eine externe Funktion in Snowflake, und konfigurieren Sie Ihre Cloudanbieter-Umgebung für die Kommunikation mit der externen Funktion. Weitere Details dazu finden Sie unter:

• Erstellen externer Funktionen auf AWS

• Erstellen externer Funktionen auf Microsoft Azure

• Erstellen externer Funktionen auf GCP

Schritt 2: Kundenspezifischer Rolle Maskierungsrichtlinienberechtigungen erteilen¶

Ein Sicherheits- oder Datenschutzbeauftragter sollte als Administrator der Maskierungsrichtlinie (d. h. kundenspezifische Rolle: MASKING_ADMIN) fungieren und über Berechtigungen zum Definieren, Verwalten und Anwenden von Maskierungsrichtlinien auf Spalten verfügen.

Snowflake stellt die folgenden Berechtigungen zur Verfügung, die einem Sicherheits- oder Datenschutzbeauftragten erteilt werden können, um Maskierungsrichtlinien für Sicherheit auf Spaltenebene zu verwalten:

Im folgenden Beispiel wird die Rolle MASKING_ADMIN erstellt, und dieser Rolle werden Maskierungsrichtlinienberechtigungen erteilt.

Erstellen einer kundenspezifischen Rolle für den Administrator einer Maskierungsrichtlinie:

use role useradmin;
CREATE ROLE masking_admin;

Copy

Zuweisen von Berechtigungen zur Rolle masking_admin:

use role securityadmin;
GRANT CREATE MASKING POLICY on SCHEMA <db_name.schema_name> to ROLE masking_admin;
GRANT APPLY MASKING POLICY on ACCOUNT to ROLE masking_admin;

Copy

Zulassen des Setzens/Aufhebens der Maskierungsrichtlinie ssn_mask für die Rolle table_owner (optional):

GRANT APPLY ON MASKING POLICY ssn_mask to ROLE table_owner;

Copy

Wobei:

• db_name.schema_name

  Gibt den Bezeichner des Schemas an, dem die Berechtigung erteilt werden soll.

Weitere Informationen dazu finden Sie unter:

• GRANT <Berechtigungen>

• Konfigurieren der Zugriffssteuerung

• Zugriffssteuerungsrechte

Schritt 3: Kundenspezifische Rolle einem Benutzer zuweisen¶

Weisen Sie einem Benutzer, der als Sicherheits- oder Datenschutzbeauftragter fungiert, die kundenspezifische Rolle MASKING_ADMIN zu.

use role useradmin;
grant role masking_admin to user jsmith;

Schritt 4: Maskierungsrichtlinie erstellen¶

In diesem typischen Beispiel werden Benutzern mit der benutzerdefinierten Rolle ANALYST die detokenisierten E-Mail-Werte angezeigt. Benutzern ohne die benutzerdefiniere Rolle ANALYST werden tokenisierte Werte angezeigt.

Die externe Funktion zum Detokenisieren der E-Mail-Werte ist de_email().

-- create masking policy

create or replace masking policy email_de_token as (val string) returns string ->
  case
    when current_role() in ('ANALYST') then de_email(val)
    else val
  end;

Schritt 5: Maskierungsrichtlinie auf Tabellen- oder Ansichtsspalte anwenden¶

In diesen Beispielen wird davon ausgegangen, dass bei der Erstellung der Tabelle auf die Tabellenspalte und bei der Erstellung der Ansicht auf die Ansichtsspalte keine Maskierungsrichtlinie angewendet wird. Sie können optional eine Maskierungsrichtlinie auf eine Tabellenspalte anwenden, wenn Sie die Tabelle mit einer CREATE TABLE-Anweisung oder eine Ansichtsspalte mit einer CREATE VIEW-Anweisung erstellen.

Führen Sie die folgenden Anweisungen aus, um die Richtlinie auf eine Tabellenspalte oder eine Ansichtsspalte anzuwenden.

-- apply masking policy to a table column

alter table if exists user_info modify column email set masking policy email_de_token;

-- apply the masking policy to a view column

alter view user_info_v modify column email set masking policy email_de_token;

Schritt 6: Daten in Snowflake abfragen¶

Führen Sie in Snowflake zwei verschiedene Abfragen aus, eine Abfrage mit der kundenspezifische Rolle ANALYST und eine andere Abfrage mit einer anderen Rolle, um zu überprüfen, ob Benutzern ohne kundenspezifischer ANALYST-Rolle die tokenisierten Werte angezeigt werden.

-- using the ANALYST custom role

use role ANALYST;
select email from user_info; -- should see plain text value

-- using the PUBLIC system role

use role public;
select email from user_info; -- should see tokenized value