Utilisation de la tokenisation externe¶

Étape 1 : créez une fonction externe¶

Créez une fonction externe dans Snowflake et configurez l’environnement de votre fournisseur Cloud pour qu’il communique avec la fonction externe. Pour plus de détails, voir :

• Création de fonctions externes sur AWS

• Création de fonctions externes sur Microsoft Azure

• Création de fonctions externes sur GCP

Étape 2 : Accorder des privilèges de politiques de masquage à un rôle personnalisé¶

Un responsable de la sécurité ou de la confidentialité doit servir d’administrateur de politiques de masquage (c’est-à-dire un rôle personnalisé : MASKING_ADMIN) et avoir les privilèges pour définir, gérer et appliquer des politiques de masquage aux colonnes.

Snowflake fournit les privilèges suivants à accorder à un responsable de la sécurité ou de la confidentialité pour les politiques de masquage de sécurité au niveau des colonnes :

L’exemple suivant crée le rôle MASKING_ADMIN et accorde des privilèges de politiques de masquage à ce rôle.

Créer un rôle personnalisé d’administrateur de politique de masquage :

use role useradmin;
CREATE ROLE masking_admin;

Copy

Accorder des privilèges au rôle masking_admin :

use role securityadmin;
GRANT CREATE MASKING POLICY on SCHEMA <db_name.schema_name> to ROLE masking_admin;
GRANT APPLY MASKING POLICY on ACCOUNT to ROLE masking_admin;

Copy

Permettre au rôle table_owner d’activer ou de désactiver la politique de masquage ssn_mask (facultatif) :

GRANT APPLY ON MASKING POLICY ssn_mask to ROLE table_owner;

Copy

Où :

• db_name.schema_name

  Indique l’identificateur du schéma pour lequel le privilège doit être accordé.

Pour plus d’informations, voir :

• GRANT <privilèges>

• Configuration du contrôle d’accès

• Privilèges de contrôle d’accès

Étape 3 : Accorder le rôle personnalisé à un utilisateur¶

Accordez le rôle personnalisé MASKING_ADMIN à un utilisateur faisant office de responsable de la sécurité ou de la confidentialité.

use role useradmin;
grant role masking_admin to user jsmith;

Étape 4 : Créer une politique de masquage¶

Dans cet exemple représentatif, les utilisateurs avec le rôle personnalisé ANALYST voient les valeurs des e-mails non tokenisées. Les utilisateurs sans le rôle personnalisé ANALYST voient les valeurs tokenisées.

La fonction externe permettant de détokeniser les valeurs des e-mails est de_email().

-- create masking policy

create or replace masking policy email_de_token as (val string) returns string ->
  case
    when current_role() in ('ANALYST') then de_email(val)
    else val
  end;

Étape 5 : Appliquer la politique de masquage à une colonne de table ou de vue¶

Ces exemples supposent qu’une politique de masquage n’est pas appliquée à la colonne de la table lorsque celle-ci est créée et à la colonne de la vue lorsque celle-ci est créée. Vous pouvez éventuellement appliquer une politique de masquage à une colonne de table lorsque vous créez la table avec une instruction CREATE TABLE ou une colonne de vue avec une instruction CREATE VIEW.

Exécutez les instructions suivantes pour appliquer la politique à une colonne de table ou une colonne de vue.

-- apply masking policy to a table column

alter table if exists user_info modify column email set masking policy email_de_token;

-- apply the masking policy to a view column

alter view user_info_v modify column email set masking policy email_de_token;

Étape 6 : Interroger les données dans Snowflake¶

Exécutez deux requêtes différentes dans Snowflake, une requête avec le rôle personnalisé ANALYST et une autre requête avec un rôle différent, pour vérifier que les utilisateurs sans le rôle personnalisé ANALYST voient les valeurs tokenisées.

-- using the ANALYST custom role

use role ANALYST;
select email from user_info; -- should see plain text value

-- using the PUBLIC system role

use role public;
select email from user_info; -- should see tokenized value