External Tokenization 사용하기¶

1단계: 외부 함수 만들기¶

Snowflake에서 외부 함수를 만들고 외부 함수와 통신하도록 클라우드 공급자 환경을 구성합니다. 자세한 내용은 다음을 참조하십시오.

• AWS에서 외부 함수 만들기

• Microsoft Azure에서 외부 함수 만들기

• GCP에서 외부 함수 만들기

2단계: 사용자 지정 역할에 마스킹 정책 권한 부여¶

보안 또는 개인정보보호 담당자 는 마스킹 정책 관리자(즉, 사용자 지정 역할: MASKING_ADMIN)의 역할을 수행해야 하며 마스킹 정책을 정의, 관리 및 열에 적용할 수 있는 권한이 있어야 합니다.

Column-level Security 마스킹 정책과 관련하여 보안 또는 개인정보보호 담당자에게 부여할 수 있도록 Snowflake에서 제공하는 권한은 다음과 같습니다.

다음 예에서는 MASKING_ADMIN 역할을 생성하고 마스킹 정책 권한을 해당 역할에 부여합니다.

다음과 같이 마스킹 정책 관리자 사용자 지정 역할 생성:

use role useradmin;
CREATE ROLE masking_admin;

Copy

masking_admin 역할에 권한 부여:

use role securityadmin;
GRANT CREATE MASKING POLICY on SCHEMA <db_name.schema_name> to ROLE masking_admin;
GRANT APPLY MASKING POLICY on ACCOUNT to ROLE masking_admin;

Copy

table_owner 역할이 ssn_mask 마스킹 정책을 설정하거나 설정 해제하도록 허용(선택 사항):

GRANT APPLY ON MASKING POLICY ssn_mask to ROLE table_owner;

Copy

여기서

• db_name.schema_name

  권한이 부여되어야 하는 스키마의 식별자를 지정합니다.

자세한 내용은 다음을 참조하십시오.

• GRANT <권한>

• 액세스 제어 구성하기

• 액세스 제어 권한

3단계: 사용자에게 사용자 지정 역할 부여¶

보안 책임자 또는 개인정보 보호 책임자 역할을 하는 사용자에게 MASKING_ADMIN 사용자 지정 역할을 부여합니다.

use role useradmin;
grant role masking_admin to user jsmith;

4단계: 마스킹 정책 만들기¶

이 대표적인 예에서 ANALYST 사용자 지정 역할의 사용자에게는 토큰화가 해제된 이메일 값이 표시됩니다. ANALYST 사용자 지정 역할이 없는 사용자에게는 토큰화된 값이 표시됩니다.

이메일 값의 토큰화를 해제하기 위한 외부 함수는 de_email() 입니다.

-- create masking policy

create or replace masking policy email_de_token as (val string) returns string ->
  case
    when current_role() in ('ANALYST') then de_email(val)
    else val
  end;

5단계: 테이블 또는 뷰 열에 마스킹 정책 적용¶

이런 예에서는 테이블 생성 시에는 테이블 열에, 뷰 생성 시에는 뷰 열에 마스킹 정책이 적용되지 않는 것으로 가정합니다. CREATE TABLE 문이 포함된 테이블 또는 CREATE VIEW 문이 포함된 뷰 열을 만들 때 마스킹 정책을 테이블 열에 선택적으로 적용할 수 있습니다.

다음 문을 실행하여 테이블의 열 또는 뷰의 열에 정책을 적용합니다.

-- apply masking policy to a table column

alter table if exists user_info modify column email set masking policy email_de_token;

-- apply the masking policy to a view column

alter view user_info_v modify column email set masking policy email_de_token;

6단계: Snowflake에서 데이터 쿼리¶

Snowflake에서 ANALYST 사용자 지정 역할의 쿼리와 다른 역할의 쿼리를 실행하여 ANALYST 사용자 지정 역할이 없는 사용자에게 토큰화가 해제된 값이 표시되는지 확인합니다.

-- using the ANALYST custom role

use role ANALYST;
select email from user_info; -- should see plain text value

-- using the PUBLIC system role

use role public;
select email from user_info; -- should see tokenized value