Snowflake Data Clean Room の差分プライバシー¶

clean roomにおける差動プライバシーの仕組み¶

Clean roomは、 Snowflake差分プライバシーとは 異なる、独自の差分プライバシー実装を提供します、このドキュメントを読んで、その動作と設定の違いを理解してください。

差分プライバシーはデータ内の エンティティ のプライバシーを保護します。Clean roomには、エンティティを列内の一意な値として定義します。Clean roomには、機密性が高いと思われるデータをどの列に含めるかを定義します。例えば、社会保障番号やメールアドレスはおそらく機密性の高いエンティティですが、色はそうではありません。差分プライバシーが適用されたclean roomは、テーブルごとに1つまたは複数のエンティティ列を識別します。どの列をエンティティ列にするかは指定できません。

clean roomの差分プライバシーはまた、各エンティティに関する数値結果にノイズを追加します。

そのノイズを減らすために、ユーザーが複数の異なるクエリ結果を比較する場合があります。これが 差分化攻撃 です。差分攻撃を防ぐために、差分プライバシーはアカウントに割り当てられた プライバシーバジェット を計算および監視します。各クエリには、そのクエリによって開示されるエンティティのプライバシーを把握するためのコストがあります。このコストは、クエリ、データ、同じユーザーからの以前のクエリに基づいて数学的に判断されます。クエリのコストがプライバシーバジェットの残数の限界を超えると、クエリは失敗します。超えなければ、クエリが続行され、コストはユーザーの1日のプライバシーバジェットに追加されます。プライバシーバジェットは毎日更新されます。

clean roomの差分プライバシーによって、クエリに集計上の制約が適用されることはありませんが、データまたはテンプレートに 集約上の制約を追加 することは可能です。

UI で差分プライバシーを有効化および管理する¶

clean room UI で、プロバイダーはプライバシーをテンプレートレベルで設定できますが、コンシューマーは差分プライバシー設定を有効にすることも、変更することもできません。clean room UI で使用される標準Snowflakeテンプレートは、テンプレートごとに異なる差分プライバシーを設定できます。

clean room UI を使用してテンプレートの差分プライバシーを有効または無効にするには：

1. Clean Rooms ページの Created ` タブを開きます。

2. clean roomのタイルで Edit または » Edit を選択します（clean roomで分析の実行が許可されているかどうかで異なります）。

3. Configure Analysis & Query に達するまで Next を選択します。

4. ページの下部で、 Privacy Settings を展開します。 Differential Privacy を選択または選択解除し、そのテンプレートの設定（ユーザーのプライバシーバジェットやクエリコストなど）を行います。このクエリでは、しきい値をセットして最小グループサイズを適用することもできます。

5. 別のテンプレートの設定を行うには、まず現在のテンプレートの値をセットし、次にテンプレートセレクタで別のテンプレートを選択します。

API で差分プライバシーを有効化および管理する¶

clean room API では、どちらの側も差分プライバシーをコラボレーションレベルで有効化および構成できます。

すべてのカスタムテンプレートが、clean roomで同じ差分プライバシー設定を使用します。Snowflakeが提供するテンプレートを、 UI で個別のプライバシー設定で構成できます。

以下のプロシージャを使用して差分プライバシーを構成します：

• consumer.enable_templates_for_provider_run - プロバイダーが実行するすべての分析のデフォルト値で、差分プライバシーをオフまたはオンにします。

• consumer.set_privacy_settings - プロバイダーが実行する分析（カスタムテンプレートなど）で、差分プライバシーを個別に指定します。

• provider.set_privacy_settings - コンシューマーが実行する分析（カスタムテンプレートなど）で、差分プライバシーを個別に指定します。

• provider.add_custom_sql_template - 感度 パラメーターを指定し、テンプレートのエプシロン（ノイズレベル）を、コンシューマーにセットされたベースラインのエプシロンより上または下に増減します。

• provider.add_consumers - コンシューマーごとにプライバシーを指定します。同じカスタマーを異なるプライバシー設定で複数回追加し、プライバシー設定を変更できます。

• provider.suspend_account_dp_task - このアカウントのすべてのclean roomの差分プライバシーバジェットの監視をオフにします。プライバシーの差はなくなりました。

• provider.resume_account_dp_task - このアカウントのすべてのclean roomの差分プライバシーバジェットの監視をオンにします。差分プライバシーの設定が適用されます。

clean roomのプライバシー設定が SAMOOHA_CLEANROOM_cleanroom_ID.admin.privacy_budget に保存されます。 APPLICATION_ID はテンプレート名（すべてのカスタムテンプレートの場合はNULL ）、 PARTY_ACCOUNT は設定が適用されるユーザーです。

その他のプライバシー機能¶

cleanroom.addnoise(<val>, <epsilon>, <noiserand>, [<gaussian>], [<delta>])

CALL samooha_by_snowflake_local_db.provider.add_custom_sql_template(
$cleanroom_name,
$template_name,
$$
SELECT
  cleanroom.addNoise(
    count(distinct p.hashed_email),  -- Value
    {{ privacy.epsilon | sqlsafe }}, -- Epsilon
    UNIFORM(0::FLOAT, 1::FLOAT, RANDOM()) -- Noiserand
    ) AS noisy_count
FROM
    IDENTIFIER({{ source_table[0] }}) p
$$);

差分プライバシーコストの管理¶

個々のユーザーやテンプレートの差分プライバシーが有効でない場合でも、差分プライバシーを適用すべきかどうかが、すべてのクエリを対象にシステムによってチェックされるため、 コストが発生します。このコストをなくしたい場合は、アカウントの差分プライバシーを無効にします：

1. まず、ウェブアプリを使用して、すべてのクリーンルームの差分プライバシーをオフにします。

   1. ウェブアプリにログインします。

   2. 失敗していないすべてのクリーンルームで、共有や公開されていない場合でも、差分プライバシーを無効にします。

      1. Clean rooms » Created » Edit を選択します。

      2. Configure Analysis & Query に達するまで Next を選択します。

      3. ページの下部で、 Privacy Settings を展開します。 Differential Privacy が選択されている場合は選択を解除し、 Next と Finish をクリックして変更を保存します。選択されていない場合は、 Cancel をクリックし、次のクリーンルームに進んでください。

2. 最後に、Snowsightの provider.suspend_account_dp_taskプロシージャ を呼び出して、アカウントの差分プライバシーバックグラウンドタスクを一時停止します。

いくつかの注意点とトラブルシューティング

• クリーンルームのために差分プライバシーを無効にすることを忘れて、バックグラウンドタスクを中断した場合、差分プライバシーは、すでにそれをインストールしているユーザーのために、そのクリーンルームで機能しないかもしれません。

• クリーンルームがインストールされる前に、クリーンルーム内で差分プライバシーが有効になっている場合、クリーンルームのインストールは失敗します。この場合、クリーンルームの差分プライバシーを無効にするか、以下に示すようにタスクを再度有効にする必要があります。

後でアカウントの差分プライバシーを有効にしたい場合は、 アカウント内のクリーンルームの差分プライバシーを有効にするか、Snowsightで provider.resume_account_dp_taskプロシージャ を呼び出します。