Mise en œuvre de la protection de la confidentialité au niveau de l’entité à l’aide de politiques d’agrégation¶

À propos de la protection de la confidentialité au niveau de l’entité¶

Une entité fait référence à un ensemble d’attributs appartenant à un objet logique (par exemple, un profil d’utilisateur ou des informations sur un foyer). Ces attributs peuvent être utilisés pour identifier une entité au sein d’un ensemble de données. La confidentialité au niveau de l’entité est une fonction des technologies améliorant la confidentialité (PET) qui protège la confidentialité d’une entité stockée dans un ensemble de données partagé. Il garantit que les requêtes ne peuvent pas exposer les attributs sensibles d’une entité, même si ces attributs se trouvent dans plusieurs enregistrements.

Pour assurer la confidentialité au niveau de l’entité, Snowflake vous permet de spécifier les colonnes qui identifient une entité (une clé d’entité). Cela permet à Snowflake d’identifier tous les enregistrements qui appartiennent à une entité particulière au sein d’un ensemble de données. Par exemple, si la clé de l’entité est définie comme la colonne email, Snowflake peut déterminer que tous les enregistrements contenant email=joe.smith@example.com appartiennent à la même entité.

Lorsque vous définissez plusieurs entités pour une table, la politique d’agrégation est évaluée séparément pour chaque clé d’entité.

La politique est appliquée à une requête même si les colonnes clés n’apparaissent pas dans la requête. Par exemple, compte tenu d’une politique qui s’applique à la clé de l’entité (user_id), la requête SELECT age FROM T1 GROUP BY age; appliquera toujours la restriction min_group_size pour user_id dans chaque groupe, bien que user_id n’apparaisse pas dans la requête.

À propos des tailles de groupe minimales¶

Chaque politique d’agrégation spécifie une taille de groupe minimale. Sans confidentialité au niveau de l’entité, la taille minimale du groupe définit le nombre d’enregistrements qui doivent être inclus dans un groupe d’agrégation. Lorsqu’une clé d’entité est spécifiée, la taille minimale du groupe définit le nombre minimum d’entités uniques qui doivent figurer dans le groupe pour qu’il apparaisse dans les résultats finaux. N’oubliez pas que les fonctions d’agrégation telles que SUM et AVG renvoient un groupe, alors que les colonnes GROUP BY renvoient un groupe par valeur unique dans les colonnes regroupées.

Les politiques de niveau colonne suivantes n’affectent pas la manière dont Snowflake calcule s’il y a suffisamment d’entités dans un groupe d’agrégation :

• Les politiques de projection sont appliquées après les politiques d’agrégation.

• Les politiques de masquage sont appliquées avant les politiques d’agrégation. Toutes les fonctions ou politiques d’agrégation fonctionnent sur des données masquées.

Dans les cas où les références de noms sont utilisées plusieurs fois (par exemple, dans les opérateurs JOIN ou UNION), Snowflake applique la taille minimale du groupe pour chaque référence de nom de chaque ensemble de données séparément. Cela s’applique même lorsque la référence renvoie plusieurs fois au même ensemble de données.

Renforcer la protection de la confidentialité au niveau de l’entité grâce à des politiques d’agrégation¶

Pour appliquer la confidentialité au niveau de l’entité avec des politiques d’agrégation, procédez comme suit :

1. Lorsque vous exécutez la commande CREATE AGGREGATION POLICY pour créer la politique d’agrégation, spécifiez le nombre d’entités qui doivent être incluses dans chaque groupe d’agrégation.

2. Définissez la clé d’entité lorsque vous affectez la politique d’agrégation à une table ou à une vue.

CREATE AGGREGATION POLICY my_agg_policy
  AS () RETURNS AGGREGATION_CONSTRAINT ->
  AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5);

ALTER TABLE viewership_log
  SET AGGREGATION POLICY my_agg_policy
  ENTITY KEY (first_name,last_name);

ALTER TABLE transactions ADD AGGREGATION POLICY ap ENTITY KEY (user_id, user_email);
ALTER TABLE transactions ADD AGGREGATION POLICY ap ENTITY KEY (vendor_id);

ALTER TABLE transactions ADD AGGREGATION POLICY ap ENTITY KEY (user_id) ENTITY KEY (vendor_id);

CREATE TABLE t1
  WITH AGGREGATION POLICY my_agg_policy
  ENTITY KEY (first_name,last_name);

Politiques d’agrégation différée¶

Si une requête comporte des sous-requêtes, Snowflake tentera d’appliquer les politiques d’agrégation d’entités sur la requête la plus interne. Si cette requête comporte une clause GROUP BY et que les colonnes de GROUP BY correspondent à la clé d’entité d’une politique d’agrégation, cette politique d’agrégation ne sera pas appliquée à cette sous-requête mais à la requête parent de cette sous-requête. Ce report se poursuit dans la chaîne jusqu’à ce qu’une requête soit atteinte sans qu’un ensemble de colonnes GROUP BY ne corresponde à la clé d’entité de la politique, ou jusqu’à ce que la requête de niveau supérieur soit atteinte ; dans les deux cas, la politique d’agrégation sera appliquée à cette requête. Une politique d’agrégation n’est appliquée qu’une seule fois dans une chaîne de requêtes.

Par exemple, supposons que vous ayez une politique d’agrégation my_agg_policy avec la clé d’entité (name, zipcode). Dans la pseudo requête suivante, la requête interne a un ensemble GROUP BY qui correspond à la clé d’entité pour my_agg_policy, et la politique est donc différée à son parent. La politique est appliquée au niveau du parent parce qu’il s’agit d’une requête de niveau supérieur, même si les colonnes GROUP BY correspondent également aux colonnes de la politique.

SELECT age, name, zipcode FROM(                        -- Outermost query: my_agg_policy enforced.
  SELECT name, zipcode FROM T GROUP BY name, zipcode   -- Matches my_agg_policy entity key: my_agg_policy deferred
)
  GROUP BY age, name, zipcode;

Notez que les colonnes de GROUP BY peuvent être un surensemble des colonnes de la clé de l’entité pour déclencher un report, et que les politiques ne sont reportées que lorsque les colonnes de GROUP BY correspondent ; les fonctions d’agrégation ne déclenchent pas de report.

Chaque politique d’agrégation est appliquée séparément à tous les blocs de la requête. Une requête composée de plusieurs blocs via un opérateur d’ensemble (tel que UNION) évaluera les politiques d’agrégation séparément pour chaque bloc de la requête.

Le report d’agrégation a des effets utiles, comme le montre l’exemple suivant.

WITH bucketed AS (
  SELECT
    CASE
      WHEN SUM(transaction_amount) BETWEEN 0 AND 100 THEN 'low'
      WHEN SUM(transaction_amount) BETWEEN 101 AND 100000 THEN 'high'
    END AS transaction_bucket,
    zipcode,               -- zipcode and email need not appear in the select list, but this lets us compute entity_count below
    email
  FROM my_transactions
  GROUP BY zipcode, email  -- This would not work if it was only GROUP BY zipcode, since the entity key is (zipcode, email)
)
SELECT
  transaction_bucket,
  COUNT(DISTINCT zipcode, email) AS entity_count
FROM
  bucketed
GROUP BY transaction_bucket;

Suppression des contraintes de clé d’entité¶

Pour supprimer une politique d’agrégation pour une seule clé d’entité :

-- Drop agg policy ap associated with entity key user_id
ALTER TABLE transactions DROP AGGREGATION POLICY ap ENTITY KEY (user_id)

Pour supprimer une politique d’agrégation pour plusieurs clés d’entité, supprimez chaque politique séparément :

-- Drop the agg policies associated with two separate keys
ALTER TABLE transactions DROP AGGREGATION POLICY ap ENTITY KEY (user_id)
ALTER TABLE transactions DROP AGGREGATION POLICY ap ENTITY KEY (vendor_id)

Pour supprimer une politique d’agrégation ainsi que toutes ses entités, omettez ENTITY KEY dans l’instruction DROP:

-- Drop agg policy ap from the table entirely
ALTER TABLE transactions DROP AGGREGATION POLICY ap

Restrictions¶

Les restrictions suivantes s’appliquent lorsque vous travaillez avec des tables pour lesquelles plusieurs clés d’entité ou politiques d’agrégation ont été définies :

• Une clé d’entité peut être associée à une politique au maximum. Si vous tentez d’attribuer une autre politique à une clé d’entité déjà mappée à une politique, vous obtiendrez une erreur.

• Une politique ne peut être utilisée à la fois pour la confidentialité au niveau des lignes et au niveau des entités.

• Une seule politique peut être utilisée pour la confidentialité au niveau des lignes. Toute tentative d’affectation d’une autre politique en tant que politique d’agrégation au niveau de la ligne entraînera une erreur.

Requête sur une table soumise à des contraintes d’agrégation¶

Les conditions requises pour l’interrogation d’une table soumise à des contraintes d’agrégation qui possède une clé d’entité sont les mêmes que celles requises pour l’interrogation d’une table qui n’en possède pas. Pour obtenir des informations sur les types de requêtes conformes à ces exigences, consultez Conditions des requêtes.