機密データを自動的に分類¶

基本的な例: スキーマ内のテーブルの自動分類¶

スキーマ内のテーブルを自動的に分類するには、以下の手順を実行します。

1. 管理者として、データエンジニアに、スキーマ内のテーブルを自動的に分類するために必要な ロールと権限 を与えます。

   USE ROLE ACCOUNTADMIN;
   
   GRANT USAGE ON DATABASE mydb TO ROLE data_engineer;
   GRANT MODIFY ON SCHEMA mydb.sch TO ROLE data_engineer;
   GRANT SELECT ON TABLE mydb.sch.t1 TO ROLE data_engineer;
   
   GRANT DATABASE ROLE SNOWFLAKE.CLASSIFICATION_ADMIN TO ROLE data_engineer;
   GRANT CREATE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE ON SCHEMA mydb.sch TO ROLE data_engineer;
   
   GRANT EXECUTE AUTO CLASSIFICATION ON ACCOUNT TO ROLE data_engineer;
   GRANT APPLY TAG ON ACCOUNT TO ROLE data_engineer;
   

   Copy

2. データエンジニアのロールに切り替えます。

   USE ROLE data_engineer;
   

   Copy

3. CLASSIFICATION_PROFILE クラスのインスタンスとして、 分類プロファイルを作成 します。

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 1,
         'maximum_classification_validity_days': 30,
         'auto_tag': true
       });
   

   Copy

4. インスタンスに対して DESCRIBE メソッドを呼び出し、そのプロパティを確認します。

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

5. スキーマに分類プロファイルインスタンスをセットすると、スキーマ内のテーブルを監視し、機密データかどうかを自動的に分類するバックグラウンドプロセスが開始されます。

   ALTER SCHEMA mydb.sch
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

6. SYSTEM$GET_CLASSIFICATION_RESULT ストアドプロシージャを呼び出して、自動分類の結果を取得します。

   CALL SYSTEM$GET_CLASSIFICATION_RESULT('mydb.sch.t1');
   

   Copy

7. スキーマ内のテーブルを自動的に分類する必要がなくなった場合は、スキーマから分類プロファイルの設定を解除します。

   ALTER SCHEMA mydb.sch UNSET CLASSIFICATION_PROFILE;
   

   Copy

8. DROP CLASSIFICATION_PROFILE コマンドを使用して、不要な分類プロファイルをドロップします。

例: タグマップとカスタム分類子の使用¶

1. 管理者として、データエンジニアに、スキーマ内のテーブルを自動的に分類し、列にタグをセットするために必要な ロールと権限 を与えます。

2. 分類プロファイルを作成します。

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE
     my_classification_profile(
       {
         'minimum_object_age_for_classification_days': 1,
         'maximum_classification_validity_days': 30,
         'auto_tag': true
       });
   

   Copy

3. インスタンスの SET_TAG_MAP メソッドを呼び出して、 タグマップ を分類プロファイルに追加します。これにより、機密データを含む列にカスタムタグを自動的に適用することができます。

   CALL my_classification_profile!SET_TAG_MAP(
     {'column_tag_map':[
       {
         'tag_name':'my_db.sch1.pii',
         'tag_value':'sensitive',
         'semantic_categories':['NAME']
       }]});
   

   Copy

   あるいは、分類プロファイルを作成するときに、このタグマップを追加することもできます。

4. SET_CUSTOM_CLASSIFIERS メソッドを呼び出して、 カスタム分類子 を分類プロファイルに追加します。これにより、機密データをユーザー定義のセマンティックカテゴリとプライバシーカテゴリで自動的に分類することができます。

   CALL my_classification_profile!set_custom_classifiers(
     {
       'medical_codes': medical_codes!list(),
       'finance_codes': finance_codes!list()
     });
   

   Copy

   または、分類プロファイルの作成時にカスタム分類子を追加することもできます。

5. インスタンスの DESCRIBE メソッドを呼び出して、タグマップとカスタム分類子が分類プロファイルに追加されたことを確認します。

   SELECT my_classification_profile!DESCRIBE();
   

   Copy

6. スキーマに分類プロファイルインスタンスをセットします。

   ALTER SCHEMA mydb.sch
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy

7. tag_db.sch.pii タグにマスキングポリシーをアタッチして、タグベースのマスキングを有効にします。

   ALTER TAG tag_db.sch.pii SET MASKING POLICY pii_mask;
   

   Copy

例: 自動分類を有効にする前の分類プロファイルのテスト¶

1. 管理者として、データエンジニアに、スキーマ内のテーブルを自動的に分類し、列にタグをセットするために必要な ロールと権限 を与えます。

2. タグマップとカスタム分類子を使用して分類プロファイルを作成します。

   CREATE OR REPLACE SNOWFLAKE.DATA_PRIVACY.CLASSIFICATION_PROFILE my_classification_profile2(
     {
       'minimum_object_age_for_classification_days':1,
       'auto_tag':true,
       'tag_map': {
         'column_tag_map':[
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'highly sensitive',
             'semantic_categories':['NAME','NATIONAL_IDENTIFIER']
           },
           {
             'tag_name':'tag_db.sch.pii',
             'tag_value':'sensitive',
             'semantic_categories':['EMAIL','MEDICAL_CODE']
           }
         ]
       },
       'custom_classifiers': {
         'medical_codes': medical_codes!list(),
         'finance_codes': finance_codes!list()
       }
     }
   );
   

   Copy

3. 自動分類を有効にする前に、 SYSTEM$CLASSIFY ストアドプロシージャを呼び出して、 table1 テーブルのタグマッピングをテストします。

   CALL SYSTEM$CLASSIFY(
    'db.sch.table1',
    'db.sch.my_classification_profile'
   );
   

   Copy

   出力の tags キーには、タグがセットされたかどうかの詳細（セットされていれば true、そうでなければ false）、セットされたタグの名前、タグの値が含まれます。

   {
     "classification_profile_config": {
       "classification_profile_name": "db.schema.my_classification_profile"
     },
     "classification_result": {
       "EMAIL": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "EMAIL",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "EMAIL"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       },
       "FIRST_NAME": {
         "alternates": [],
         "recommendation": {
           "confidence": "HIGH",
           "coverage": 1,
           "details": [],
           "privacy_category": "IDENTIFIER",
           "semantic_category": "NAME",
           "tags": [
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.semantic_category",
               "tag_value": "NAME"
             },
             {
               "tag_applied": true,
               "tag_name": "snowflake.core.privacy_category",
               "tag_value": "IDENTIFIER"
             },
             {
               "tag_applied": true,
               "tag_name": "tag_db.sch.pii",
               "tag_value": "highly sensitive"
             }
           ]
         },
         "valid_value_ratio": 1
       }
     }
   }
   

4. 分類プロファイルに基づく自動分類が望ましい結果をもたらすことを確認したら、スキーマに分類プロファイルインスタンスをセットします。

   ALTER SCHEMA mydb.sch
    SET CLASSIFICATION_PROFILE = 'mydb.sch.my_classification_profile';
   

   Copy