外部トークン化の使用¶

ステップ1: 外部関数を作成する¶

Snowflakeで外部関数を作成し、外部関数と通信できるようにクラウドプロバイダー環境を構成します。詳細については、以下をご参照ください。

• AWS での外部関数の作成

• Microsoft Azureでの外部関数の作成

• GCP での外部関数の作成

ステップ2: カスタムロールにマスキングポリシー権限を付与する¶

セキュリティ担当者またはプライバシー担当者 は、マスキングポリシー管理者（つまり、カスタムロール: MASKING_ADMIN）として機能し、マスキングポリシーを定義、管理、および列に適用する権限を持っている必要があります。

Snowflakeは、列レベルのセキュリティマスキングポリシーのセキュリティ担当者またはプライバシー担当者に付与する次の権限を提供します。

次の例では、 MASKING_ADMIN ロールを作成し、そのロールにマスキングポリシー権限を付与します。

マスキングポリシー管理者のカスタムロールを作成します。

use role useradmin;
CREATE ROLE masking_admin;

Copy

masking_admin ロールに権限を付与します。

use role securityadmin;
GRANT CREATE MASKING POLICY on SCHEMA <db_name.schema_name> to ROLE masking_admin;
GRANT APPLY MASKING POLICY on ACCOUNT to ROLE masking_admin;

Copy

table_owner ロールに ssn_mask マスキングポリシーの設定または設定解除を許可します（オプション）:

GRANT APPLY ON MASKING POLICY ssn_mask to ROLE table_owner;

Copy

条件:

• db_name.schema_name

  権限を付与するスキーマの識別子を指定します。

詳細については、次をご参照ください。

• GRANT <権限>

• アクセス制御の構成

• アクセス制御権限

ステップ3: ユーザーにカスタムロールを付与する¶

セキュリティまたはプライバシー担当者として機能するユーザーに MASKING_ADMIN カスタムロールを付与します。

use role useradmin;
grant role masking_admin to user jsmith;

ステップ4: マスキングポリシーを作成する¶

この代表的な例では、 ANALYST カスタムロールを持つユーザーに、非トークン化されたメールの値が表示されます。 ANALYST のカスタムロールがないユーザーには、トークン化された値が表示されます。

メールの値を非トークン化する外部関数は de_email() です。

-- create masking policy

create or replace masking policy email_de_token as (val string) returns string ->
  case
    when current_role() in ('ANALYST') then de_email(val)
    else val
  end;

ステップ5: テーブルまたはビュー列にマスキングポリシーを適用する¶

これらの例では、テーブルの作成時にテーブル列に対して、またビューの作成時にビュー列に対してマスキングポリシーが適用されないことを前提としています。オプションで、 CREATE TABLE ステートメントを使用してテーブルを作成するとき、または CREATE VIEW ステートメントを使用してビュー列を作成するときに、テーブル列にマスキングポリシーを適用できます。

次のステートメントを実行して、テーブル列またはビュー列にポリシーを適用します。

-- apply masking policy to a table column

alter table if exists user_info modify column email set masking policy email_de_token;

-- apply the masking policy to a view column

alter view user_info_v modify column email set masking policy email_de_token;

ステップ6: Snowflakeでデータをクエリする¶

Snowflakeで、2つの異なるクエリを実行します。1つは ANALYST カスタムロールを持つクエリ、もう1つは異なるロールを持つクエリで、 ANALYST カスタムロールのないユーザーにトークン化した値が表示されることを確認します。

-- using the ANALYST custom role

use role ANALYST;
select email from user_info; -- should see plain text value

-- using the PUBLIC system role

use role public;
select email from user_info; -- should see tokenized value