태그 기반 마스킹 정책¶

권한¶

데이터베이스, 스키마 또는 테이블에서 태그 기반 마스킹 정책을 설정하도록 선택하는지 여부에 따라 다른 권한 요구 사항이 있습니다.

데이터베이스 또는 스키마에 대한 태그 기반 마스킹을 사용하는 경우 현재 역할 또는 현재 역할 계층 구조의 역할은 다음 두 옵션 중 하나에 표시된 권한을 상속해야 합니다.

옵션 1:

역할에 전역 APPLY MASKING POLICY와 전역 APPLY TAG 권한이 모두 있어야 합니다. 예를 들어 data_engineer 사용자 지정 역할에 다음 권한을 부여합니다.

USE ROLE ACCOUNTADMIN;

GRANT APPLY MASKING POLICY ON ACCOUNT TO ROLE data_engineer;

GRANT APPLY TAG ON ACCOUNT TO ROLE data_engineer;

Copy

이것은 스키마 또는 데이터베이스에서 태그 기반 마스킹 정책으로 열을 보호하는 가장 중앙 집중적인 접근 방식 입니다.

옵션 2:

스키마 소유자(즉, 스키마에 대한 OWNERSHIP 권한이 있는 역할)는 전역 APPLY MASKING POLICY 권한과 태그에 대한 APPLY 권한을 가질 수 있습니다. 예를 들어 태그의 이름이 governance.tags.schema_mask 이고 스키마를 소유하는 사용자 지정 역할이 schema_owner 인 경우:

USE ROLE ACCOUNTADMIN;

GRANT APPLY MASKING POLICY ON ACCOUNT TO ROLE schema_owner;

GRANT APPLY ON TAG governance.tags.schema_mask TO ROLE schema_owner;

Copy

이 접근 방식에서는 열 보호를 스키마 소유자에게 위임하여 더 많은 유연성을 제공합니다.

테이블 및 뷰에 대한 태그 기반 마스킹을 사용하면 전역 APPLY MASKING POLICY 권한이 있는 역할은 태그에 대한 마스킹 정책을 할당하고 바꿀 수 있습니다.

예를 들어, tag_admin 사용자 지정 역할에 전역 APPLY MASKING POLICY 권한을 부여하는 방법은 다음과 같습니다.

USE ROLE SECURITYADMIN;

GRANT APPLY MASKING POLICY ON ACCOUNT TO ROLE tag_admin;

Copy

태그에 마스킹 정책 할당하기¶

스키마 또는 데이터베이스에 태그 기반 마스킹 정책을 할당하는 것은 테이블에 태그 기반 마스킹 정책을 설정하는 것과 동일한 절차를 따릅니다.

1. CREATE TAG 명령을 사용하여 태그를 생성합니다.

2. CREATE MASKING POLICY 명령을 사용하여 마스킹 정책을 만듭니다.

   마스킹 정책 조건에서 SYSTEM$GET_TAG_ON_CURRENT_COLUMN 및 SYSTEM$GET_TAG_ON_CURRENT_TABLE 시스템 함수를 선택적으로 사용할 수 있습니다.

3. ALTER TAG 명령을 사용하여 태그에 대한 마스킹 정책을 설정합니다.

4. 다음 명령 중 하나를 사용하여 데이터를 보호하려는 방식에 따라 오브젝트에 태그를 설정합니다.

   • ALTER DATABASE

   • ALTER SCHEMA

   • ALTER TABLE

ALTER TAG 사용법 노트 외에도, 다음 사항에 유의하십시오.

• 한 태그에는 데이터 타입당 마스킹 정책이 하나만 있을 수 있습니다. 예를 들어, STRING 데이터 타입에 대한 정책 한 개, NUMBER 데이터 타입에 대한 정책 한 개 등이 있을 수 있습니다.

• 마스킹 정책이 열을 이미 보호하고 마스킹 정책이 적용된 태그가 같은 열에 설정된 경우, 열에 직접 할당된 마스킹 정책이 태그에 할당된 마스킹 정책보다 우선합니다.

• 태그가 마스킹 정책에 할당된 경우에는 태그를 삭제 할 수 없습니다.

• 마스킹 정책이 태그에 할당된 경우에는 마스킹 정책을 삭제 할 수 없습니다.

마스킹 정책 및 태그 관리에 대한 자세한 내용은 다음을 참조하십시오.

• Column-level Security 관리하기

• 태그 관리하기

태그의 마스킹 정책 바꾸기¶

태그에 마스킹 정책을 설정한 후 태그에 대한 마스킹 정책을 다른 마스킹 정책으로 바꾸는 두 가지 경로가 있습니다. ALTER TAG 문은 다음 옵션과 같이 마스킹 정책 이름을 지정해야 합니다.

옵션 1:

한 문의 태그에서 정책을 설정 해제한 다음, 다른 문의 태그에 대해 새 정책을 설정합니다.

ALTER TAG security UNSET MASKING POLICY ssn_mask;

ALTER TAG security SET MASKING POLICY ssn_mask_2;

Copy

옵션 2:

단일 문에서 FORCE 키워드를 사용해 정책을 바꿉니다.

데이터 타입 이 같은 정책이 태그에 이미 설정된 경우 FORCE 키워드를 사용하면 정책이 바뀝니다.

ALTER TAG security SET MASKING POLICY ssn_mask_2 FORCE;

Copy

권한 섹션에서 선택하는 옵션과 태그에 마스킹 정책 할당하기 섹션의 작업 순서는 데이터베이스 또는 스키마에서 태그를 바꾸거나 설정을 해제해야 할 경우 태그 관리에 영향을 줄 수 있습니다.

스키마 소유자가 스키마에 태그를 설정한 다음 다른 역할이 동일한 태그에 마스킹 정책을 설정하는 경우 스키마 소유자는 자신에게 전역 APPLY MASKING POLICY 권한이 부여되지 않는 한 스키마에서 태그를 설정 해제할 수 없습니다. Snowflake는 스키마 소유자에 대한 ALTER SCHEMA … UNSET TAG 작업에 실패합니다. 이 시나리오는 태그 기반 마스킹 정책으로 보호되는 열 데이터가 계속 보호되도록 보장합니다. 이런 상황을 방지하려면 권한 섹션에서 옵션 1을 사용하십시오.

중요

태그에 대한 마스킹 정책을 바꿀 때는 주의하십시오.

바꾸는 시점과 열에 대한 쿼리에 따라 두 개의 개별 문에서 정책을 바꾸도록 선택하면 UNSET 작업과 SET 작업 사이의 시간 간격에서 열 데이터가 보호되지 않으므로 데이터 누수로 이어질 수 있습니다.

하지만 대체 정책에서 정책 조건이 다른 경우 FORCE 키워드를 지정하면 (이전에는) 사용자가 데이터에 액세스할 수 있었고 정책을 바꾸면 더 이상 액세스할 수 없으므로 액세스 권한 부족으로 이어질 수 있습니다.

정책을 바꾸기 전에 내부 데이터 관리자와 상의하여 태그 기반 마스킹 정책으로 데이터를 보호하고 필요에 따라 마스킹 정책을 바꾸기 위한 최선의 접근 방식을 조정합니다.

태그 값 업데이트하기¶

스키마 소유자(즉, sch_role)가 스키마에 태그를 설정한 다음 다른 역할이 동일한 태그(즉, masking_admin_role)에 마스킹 정책을 설정하는 경우 스키마 소유자는 태그 값을 변경할 수 없습니다. Snowflake는 스키마 소유자에 대한 ALTER SCHEMA … SET TAG 작업에 실패합니다.

태그 값을 변경하려면 다음을 수행하십시오.

1. masking_admin_role 을 사용하여 태그에서 마스킹 정책을 설정 해제합니다.

2. sch_role 을 사용하여 태그 값을 수정합니다.

3. masking_admin_role 을 사용하여 마스킹 정책을 태그에 다시 할당합니다.

상위 데이터베이스 및 스키마¶

다음과 같은 경우 데이터베이스와 스키마에서 DROP 및 REPLACE 작업을 수행할 수 없습니다.

• 태그 및 마스킹 정책이 같은 스키마에 있을 때.

• 테이블 또는 뷰가 다른 스키마에 있을 때.

• 테이블 또는 뷰의 보호된 열이 마스킹 정책과 태그를 포함하는 스키마와는 다른 스키마에 존재합니다.

이 네 가지 명령은 DROP을 참조하고 데이터베이스와 스키마에서 작업을 대체합니다.

• DROP DATABASE

• DROP SCHEMA

• CREATE OR REPLACE DATABASE

• CREATE OR REPLACE SCHEMA

조건 인자¶

조건 마스킹 정책 을 태그에 할당할 수 있습니다. 열에 태그를 할당한 후, 인자의 데이터 타입이 열의 데이터 타입과 일치하는 경우 조건 인자는 이름을 기준으로 테이블의 열에 매핑됩니다.

다음 경우에는 조건 마스킹 정책이 열에 할당되면 쿼리가 실패합니다.

• 테이블에 정책의 조건 인자와 이름이 같은 열이 없는 경우.

• 테이블에 정책의 조건 인자 이름과 일치하는 열은 있지만 데이터 타입이 일치하지 않는 경우.

이러한 오류에 대한 자세한 내용은 이 항목의 태그 기반 마스킹 정책 문제 해결하기 를 참조하십시오.

태그 계보¶

마스킹 정책이 있는 태그를 모든 기본 테이블 오브젝트에 할당하거나 태그를 기본 테이블의 열에 할당할 수 있습니다. 태그 기반 마스킹 정책이 기본 테이블에 할당되면 열 데이터 타입이 마스킹 정책 서명의 데이터 타입과 일치하는 경우 열이 정책으로 보호됩니다.

마스킹 정책이 기본 테이블 열을 보호하므로, 테이블과 뷰를 사용하는 마스킹 정책에 관한 현재의 제한 사항, 고려 사항, 동작 을 기반으로 기본 테이블 열에서 파생된 뷰 열도 보호됩니다.

데이터 공유¶

공급자 계정의 공유 스키마 또는 공유 데이터베이스에 설정된 태그 기반 마스킹 정책은 컨슈머 계정에 적용됩니다. 이 시나리오는 컨슈머가 공유에서 새 데이터베이스를 생성하더라도 보호된 상태로 공유된 데이터가 계속 보호된 상태로 유지되도록 보장합니다.

또한 다음 사항도 참고하십시오.

• 태그 계보는 컨슈머 계정에 보존됩니다.

  공급자가 데이터베이스에 태그 기반 마스킹 정책을 설정하고 해당 데이터베이스를 공유하는 경우 Snowflake는 태그가 포함된 데이터베이스 측면에서 컨슈머 계정의 공유 공급자 데이터베이스를 참조합니다.

• Snowflake는 태그 및 태그 기반 마스킹 정책이 컨슈머 계정에서 시작된 경우 공유 오브젝트와의 태그 계보를 따르지 않습니다.

  컨슈머 계정의 태그 및 태그 기반 마스킹 정책은 공유 오브젝트에 적용되지 않습니다.

Snowsight¶

Snowsight 에서 태그 기반 마스킹 정책을 모니터링하고 할당할 수 있습니다. 자세한 내용은 다음을 참조하십시오.

• Snowsight 로 태그 모니터링하기

• Snowsight 로 마스킹 정책 모니터링하기

태그 및 정책 검색¶

Information Schema 테이블 함수 POLICY_REFERENCES 및 Account Usage POLICY_REFERENCES 뷰는 다음 열을 확인함으로써 마스킹 정책과 태그가 서로 참조하는지 여부를 확인하는 데 도움이 될 수 있습니다.

• TAG_DATABASE

• TAG_SCHEMA

• TAG_NAME

• POLICY_STATUS

POLICY_STATUS 열에는 다음과 같은 네 가지 값이 있을 수 있습니다.

ACTIVE

태그에 의해 열(즉, REF_COLUMN_NAME)이 단일 정책에만 연결되도록 지정합니다.

MULTIPLE_MASKING_POLICY_ASSIGNED_TO_THE_COLUMN

여러 마스킹 정책이 동일한 열에 할당되도록 지정합니다.

COLUMN_IS_MISSING_FOR_SECONDARY_ARG

정책(즉, POLICY_NAME)이 조건부 마스킹 정책이고 테이블(즉, REF_ENTITY_NAME)에 동일한 이름의 열이 없음을 지정합니다.

COLUMN_DATATYPE_MISMATCH_FOR_SECONDARY_ARG

정책이 조건부 마스킹 정책이고 테이블에 마스킹 정책 서명의 데이터 타입과 이름은 같지만 데이터 타입이 다른 열이 있음을 지정합니다.

POLICY_STATUS 열에 가능한 값이 있는 관련 오류 메시지에 대한 자세한 내용은 이 항목의 태그 기반 마스킹 정책 문제 해결하기 를 참조하십시오.

데이터 보호 및 유효성 검사 단계¶

일반적으로, 태그 기반 마스킹 정책을 사용할 때는 다음 접근 방식에 따르는 것이 좋습니다.

1. 태그 기반 마스킹 정책에 필요한 모든 태그를 만듭니다.

2. 태그 기반 마스킹 정책으로 보호하려는 테이블 열을 기반으로 데이터 타입마다 마스킹 정책을 하나씩 만듭니다.

3. 태그에 마스킹 정책을 할당합니다.

4. 마스킹 정책이 있는 태그를 테이블 열에 직접 할당하거나 테이블에 할당합니다.

5. Information Schema를 검사해 태그 기반 정책이 열에 할당되었는지 확인합니다.

6. 데이터를 쿼리해 의도한 대로 태그 기반 마스킹 정책이 데이터를 보호하는지 확인합니다.

필수 단계¶

1. Snowflake 계정에서 기존 태그와 태그의 문자열 값을 식별합니다.

   • Account Usage TAG REFERENCES 뷰를 쿼리하여 모든 태그와 그에 할당된 문자열 값을 가져옵니다.

   • 선택 사항:

     • Account Usage TAGS 뷰(즉, 태그 카탈로그)를 쿼리하여 태그 목록을 가져와 이후에 태그 기반 마스킹 정책을 사용하는 동안 중복된 태그 이름이 지정되지 않도록 합니다.

     • TAG_REFERENCES 및 TAGS 쿼리의 출력을 비교하여 나중에 사용할 수 있는 미할당 태그가 있는지 확인합니다.

     • CREATE TAG 명령을 사용하여 나중에 필요할 태그를 만듭니다. 그렇지 않으면 필요에 따라 태그를 만드십시오.

2. Snowflake 계정의 기존 정책과 정책 정의를 식별합니다.

   • SHOW MASKING POLICIES 명령을 실행하여 기존 마스킹 정책 목록을 가져옵니다.

   • 이러한 정책을 현재 양식 그대로 태그에 할당할 수 있는지 결정합니다. 필요한 경우 DESCRIBE MASKING POLICY 명령을 실행하여 정책 정의를 가져오십시오. 그렇지 않으면 태그에 할당할 새 정책을 만들 계획을 세우십시오.

3. 정책 조건이 테이블 열에 설정된 태그 문자열 값을 평가해야 할지 여부의 측면에서 마스킹 정책으로 열 데이터를 보호하는 방법을 결정합니다.

예제에서 일반적으로 가정하는 사항¶

예제에서는 다음과 같이 가정합니다.

• 필수 단계가 완료되었습니다.

• tag_admin 사용자 지정 역할에 다음과 같은 권한이 있습니다.

  • 스키마 수준 CREATE TAG 권한.

  • 전역 APPLY TAG 권한.

  자세한 내용은 태그 권한 을 참조하십시오.

• masking_admin 사용자 지정 역할에 다음과 같은 권한이 있습니다.

  • 스키마 수준 CREATE MASKING POLICY 권한.

  • governance 데이터베이스와 governance.masking_policies 스키마에 대한 USAGE 권한.

  • 태그에 마스킹 정책을 할당하는 전역 APPLY MASKING POLICY 권한(이 항목의 권한 참조).

  • 오브젝트에 태그(마스킹 정책 포함)를 할당하는 전역 APPLY TAG 권한.

  자세한 내용은 태그 권한 을 참조하십시오.

• row_access_admin 사용자 지정 역할에 다음과 같은 권한이 있습니다.

  • 스키마 수준 CREATE ROW ACCESS POLICY 권한.

  • governance 데이터베이스와 governance.row_access_policies 스키마에 대한 USAGE 권한.

  • 전역 APPLY ROW ACCESS POLICY 권한.

  자세한 내용은 행 액세스 정책 권한 을 참조하십시오.

• accounting_admin 사용자 지정 역할에 다음과 같은 권한이 있습니다.

  • finance 데이터베이스와 finance.accounting 스키마에 대한 USAGE 권한.

  • finance.accounting 스키마의 테이블에 대한 SELECT 권한.

• analyst 사용자 지정 역할에 다음과 같은 권한이 있습니다.

  • finance 데이터베이스와 finance.accounting 스키마에 대한 USAGE 권한.

  • finance.accounting.name_number 테이블에 대한 SELECT 권한.

• 위에 설명된 사용자 지정 역할이 알맞은 사용자에게 부여됩니다.

  자세한 내용은 액세스 제어 구성하기 섹션을 참조하십시오.

예 1: 태그에 직접 할당된 마스킹 정책을 기반으로 열 데이터 보호하기¶

이 예에서는 두 가지 마스킹 정책을 태그에 할당한 다음 이 태그를 테이블에 할당합니다. 그 결과, 두 마스킹 정책은 데이터 타입이 정책의 데이터 타입과 일치하는 모든 테이블 열을 보호하게 됩니다.

다음 단계에서는 회계 데이터를 마스킹하는 태그 기반 마스킹 정책을 만듭니다. 예를 들어, 두 개의 열 ACCOUNT_NAME 과 ACCOUNT_NUMBER 가 있는 finance.accounting.name_number 라는 테이블을 생각해 보십시오. 이러한 열의 데이터 타입은 각각 STRING과 NUMBER입니다.

---------------+----------------+
  ACCOUNT_NAME | ACCOUNT_NUMBER |
---------------+----------------+
  ACME         | 1000           |
---------------+----------------+

다음과 같이 ACCOUNT_NAME 및 ACCOUNT_NUMBER 열을 보호하는 태그 기반 마스킹 정책을 만듭니다.

1. governance.tags 라는 스키마에 accounting 이라는 태그를 만듭니다.

   USE ROLE tag_admin;
   USE SCHEMA governance.tags;
   CREATE OR REPLACE TAG accounting;
   

   Copy

2. ACCOUNT_NAME 및 ACCOUNT_NUMBER 열을 보호하는 다른 마스킹 정책을 만듭니다. 이러한 각각의 정책에서는 ACCOUNTING_ADMIN 사용자 지정 역할만 원시 데이터를 볼 수 있습니다.

   계좌명 정책:

   USE ROLE masking_admin;
   USE SCHEMA governance.masking_policies;
   
   CREATE OR REPLACE MASKING POLICY account_name_mask
   AS (val string) RETURNS string ->
     CASE
       WHEN CURRENT_ROLE() IN ('ACCOUNTING_ADMIN') THEN val
       ELSE '***MASKED***'
     END;
   

   Copy

   계좌 번호 정책:

   CREATE OR REPLACE MASKING POLICY account_number_mask
   AS (val number) RETURNS number ->
     CASE
       WHEN CURRENT_ROLE() IN ('ACCOUNTING_ADMIN') THEN val
       ELSE -1
     END;
   

   Copy

3. 두 마스킹 정책을 모두 accounting 태그에 할당합니다. 두 정책 모두 단일 문으로 태그에 할당할 수 있습니다.

   ALTER TAG governance.tags.accounting SET
     MASKING POLICY account_name_mask,
     MASKING POLICY account_number_mask;
   

   Copy

4. finance.accounting.name_number 테이블에 accounting 태그를 할당합니다.

   ALTER TABLE finance.accounting.name_number
     SET TAG governance.tags.accounting = 'tag-based policies';
   

   Copy

5. Information Schema POLICY_REFERENCES 테이블 함수를 호출하여 ACCOUNT_NAME 및 ACCOUNT_NUMBER 테이블 열이 태그 기반 마스킹 정책으로 보호되는지 확인합니다.

   보호되는 각 열에 대해, 쿼리 결과의 행은 열 이름, 정책 이름, 태그 이름에 적절한 값을 지정해야 합니다.

   USE ROLE masking_admin;
   SELECT *
   FROM TABLE (governance.INFORMATION_SCHEMA.POLICY_REFERENCES(
     REF_ENTITY_DOMAIN => 'TABLE',
     REF_ENTITY_NAME => 'governance.accounting.name_number' )
   );
   

   Copy

   반환 결과(업데이트된 열 참조):

   -------------+------------------+---------------------+----------------+-------------------+-----------------+-----------------+-------------------+-----------------+----------------------+--------------+------------+------------+---------------+
     POLICY_DB  | POLICY_SCHEMA    | POLICY_NAME         | POLICY_KIND    | REF_DATABASE_NAME | REF_SCHEMA_NAME | REF_ENTITY_NAME | REF_ENTITY_DOMAIN | REF_COLUMN_NAME | REF_ARG_COLUMN_NAMES | TAG_DATABASE | TAG_SCHEMA | TAG_NAME   | POLICY_STATUS |
   -------------+------------------+---------------------+----------------+-------------------+-----------------+-----------------+-------------------+-----------------+----------------------+--------------+------------+------------+---------------+
     GOVERNANCE | MASKING_POLICIES | ACCOUNT_NAME_MASK   | MASKING_POLICY | FINANCE           | ACCOUNTING      | NAME_NUMBER     | TABLE             | ACCOUNT_NAME    | NULL                 | GOVERNANCE   | TAGS       | ACCOUNTING | ACTIVE        |
     GOVERNANCE | MASKING_POLICIES | ACCOUNT_NUMBER_MASK | MASKING_POLICY | FINANCE           | ACCOUNTING      | NAME_NUMBER     | TABLE             | ACCOUNT_NUMBER  | NULL                 | GOVERNANCE   | TAGS       | ACCOUNTING | ACTIVE        |
   -------------+------------------+---------------------+----------------+-------------------+-----------------+-----------------+-------------------+-----------------+----------------------+--------------+------------+------------+---------------+
   

6. 권한 있는 역할과 권한 없는 역할로 테이블 열을 쿼리하여 Snowflake가 올바른 쿼리 결과를 반환하도록 보장합니다.

   권한 있는 역할:

   USE ROLE accounting_admin;
   SELECT * FROM finance.accounting.name_number;
   

   Copy

   반환 결과:

   ---------------+----------------+
     ACCOUNT_NAME | ACCOUNT_NUMBER |
   ---------------+----------------+
     ACME         | 1000           |
   ---------------+----------------+
   

   권한 없는 역할:

   USE ROLE analyst;
   SELECT * FROM finance.accounting.name_number;
   

   Copy

   반환 결과:

   ---------------+----------------+
     ACCOUNT_NAME | ACCOUNT_NUMBER |
   ---------------+----------------+
     ***MASKED*** | -1             |
   ---------------+----------------+
   

예 2: 열 태그 문자열 값을 기반으로 열 데이터 보호하기¶

이 예에서는 태그 기반 마스킹 정책을 사용하여 열에 할당된 태그의 태그 문자열 값을 기반으로 데이터를 마스킹해야 할지 여부를 결정합니다. 이 마스킹 정책은 SYSTEM$GET_TAG_ON_CURRENT_COLUMN 함수를 마스킹 정책 조건으로 호출하고 태그 문자열 값과 일치하도록 마스킹 정책 조건을 작성함으로써 태그 문자열 값을 동적으로 평가합니다.

다음 단계에서는 회계 데이터를 마스킹하는 태그 기반 마스킹 정책을 만듭니다. 간결성을 위해, 테이블 열에는 각각 STRING과 NUMBER의 두 가지 데이터 타입이 있습니다. 예를 들어 finance.accounting.name_number 라는 테이블은 다음과 같습니다.

---------------+----------------+
  ACCOUNT_NAME | ACCOUNT_NUMBER |
---------------+----------------+
  ACME         | 1000           |
---------------+----------------+

다음과 같이 ACCOUNT_NAME 및 ACCOUNT_NUMBER 열을 보호하는 태그 기반 마스킹 정책을 만듭니다.

1. governance.tags 라는 스키마에 accounting_col_string 이라는 태그를 만듭니다.

   USE ROLE tag_admin;
   USE SCHEMA governance.tags;
   CREATE TAG accounting_col_string;
   

   Copy

2. ACCOUNT_NAME 및 ACCOUNT_NUMBER 열을 보호하는 다른 마스킹 정책을 만듭니다. 이러한 각각의 정책에서 열의 현재 태그 문자열 값이 'visible' 로 설정된 경우에만 원시 데이터가 표시됩니다.

   계좌명 정책:

   USE ROLE masking_admin;
   USE SCHEMA governance.masking_policies;
   
   CREATE MASKING POLICY account_name_mask_tag_string
   AS (val string) RETURNS string ->
     CASE
       WHEN SYSTEM$GET_TAG_ON_CURRENT_COLUMN('tags.accounting_col_string') = 'visible' THEN val
       ELSE '***MASKED***'
     END;
   

   Copy

   계좌 번호 정책:

   CREATE MASKING POLICY account_number_mask_tag_string
   AS (val number) RETURNS number ->
     CASE
       WHEN SYSTEM$GET_TAG_ON_CURRENT_COLUMN('tags.accounting_col_string') = 'visible' THEN val
       ELSE -1
     END;
   

   Copy

   참고

   tags 스키마와 masking_policies 스키마가 모두 governance 데이터베이스에 존재하므로 이러한 정책에서는 함수 인자에 schema_name.tag_name 오브젝트 이름 형식을 사용합니다. 또는 함수 인자에서 태그의 정규화된 이름을 사용할 수도 있습니다.

   정책 조건의 시스템 함수 인자에 충분히 정규화되지 않은 태그 이름이 포함된 경우 Snowflake는 태그 기반 마스킹 정책으로 보호되는 열에서 쿼리 런타임에 오류를 반환합니다. 예를 들어 이 인자는 스키마 이름이나 데이터베이스 이름을 지정하지 않고 태그 이름을 accounting_col_string 으로만 사용합니다.

   자세한 내용은 오브젝트 이름 확인 섹션을 참조하십시오.

3. 두 마스킹 정책을 모두 accounting_col_string 태그에 할당합니다. 두 정책 모두 단일 문으로 태그에 할당할 수 있습니다.

   ALTER TAG accounting_col_string SET
     MASKING POLICY account_name_mask_tag_string,
     MASKING POLICY account_number_mask_tag_string;
   

   Copy

4. 각 테이블 열에 accounting_col_string 태그를 할당합니다. 이 예에서 ACCOUNT_NAME 열의 태그 문자열 값은 'visible' 이지만, ACCOUNT_NUMBER 열의 태그 문자열 값은 'protect' 로 설정됩니다.

   ALTER TABLE finance.accounting.name_number MODIFY COLUMN
     account_name SET TAG governance.tags.accounting_col_string = 'visible',
     account_number SET TAG governance.tags.accounting_col_string = 'protect';
   

   Copy

5. Information Schema POLICY_REFERENCES 테이블 함수를 호출하여 ACCOUNT_NAME 및 ACCOUNT_NUMBER 테이블 열이 태그 기반 마스킹 정책으로 보호되는지 확인합니다.

   보호되는 각 열에 대해, 쿼리 결과의 행은 열 이름, 정책 이름, 태그 이름에 적절한 값을 지정해야 합니다.

   SELECT *
   FROM TABLE(
    governance.INFORMATION_SCHEMA.POLICY_REFERENCES(
      REF_ENTITY_DOMAIN => 'TABLE',
      REF_ENTITY_NAME => 'finance.accounting.name_number'
      )
   );
   

   Copy

   반환 결과(업데이트된 열 참조):

   ------------+----------------+--------------------------------+----------------+-------------------+-----------------+-----------------+-------------------+-----------------+----------------------+--------------+------------+-----------------------+---------------+
    POLICY_DB  | POLICY_SCHEMA  | POLICY_NAME                    |  POLICY_KIND   | REF_DATABASE_NAME | REF_SCHEMA_NAME | REF_ENTITY_NAME | REF_ENTITY_DOMAIN | REF_COLUMN_NAME | REF_ARG_COLUMN_NAMES | TAG_DATABASE | TAG_SCHEMA | TAG_NAME              | POLICY_STATUS |
   ------------+----------------+--------------------------------+----------------+-------------------+-----------------+-----------------+-------------------+-----------------+----------------------+--------------+------------+-----------------------+---------------+
    GOVERNANCE | MASKING_POLICY | ACCOUNT_NAME_MASK_TAG_STRING   | MASKING_POLICY | FINANCE           | ACCOUNTING      | NAME_NUMBER     | TABLE             | ACCOUNT_NAME    | NULL                 | GOVERNANCE   | TAGS       | ACCOUNTING_COL_STRING | ACTIVE        |
    GOVERNANCE | MASKING_POLICY | ACCOUNT_NUMBER_MASK_TAG_STRING | MASKING_POLICY | FINANCE           | ACCOUNTING      | NAME_NUMBER     | TABLE             | ACCOUNT_NUMBER  | NULL                 | GOVERNANCE   | TAGS       | ACCOUNTING_COL_STRING | ACTIVE        |
   ------------+----------------+--------------------------------+----------------+-------------------+-----------------+-----------------+-------------------+-----------------+----------------------+--------------+------------+-----------------------+---------------+
   

6. Snowflake가 ACCOUNT_NUMBER 열의 값만 마스킹해야 하는 올바른 쿼리 결과를 반환하도록 테이블 열을 쿼리합니다.

   USE ROLE accounting_admin;
   SELECT * FROM finance.accounting.name_number;
   

   Copy

   반환 결과:

   ---------------+----------------+
     ACCOUNT_NAME | ACCOUNT_NUMBER |
   ---------------+----------------+
     ACME         | -1             |
   ---------------+----------------+
   

예 3: 테이블 태그 문자열 값을 기반으로 테이블 보호하기¶

이 예에서는 테이블에 할당된 태그 문자열 값을 기반으로 테이블을 보호하는 행 액세스 정책과 테이블의 열을 보호하는 태그 기반 마스킹 정책을 사용합니다. 단순화를 위해, 이 예에서는 태그를 한 개 사용하며 그 태그에 마스킹 정책을 할당한 후 테이블에 태그를 할당합니다. 이 테이블의 열에는 태그 계보 때문에 자동으로 동일한 태그와 해당 태그의 문자열 값을 갖게 됩니다.

행 액세스 정책은 행 액세스 정책 조건에서 SYSTEM$GET_TAG_ON_CURRENT_TABLE 함수를 호출하여 테이블에 할당된 태그의 태그 문자열 값을 동적으로 평가합니다. 이전의 예와 마찬가지로, 마스킹 정책 조건은 SYSTEM$GET_TAG_ON_CURRENT_COLUMN 함수를 호출하여 테이블 열의 태그 문자열 값을 평가합니다.

테이블 finance.accounting.name_number 에는 다음과 같이 데이터 타입이 STRING과 NUMBER인 두 개의 열이 있습니다.

---------------+----------------+
  ACCOUNT_NAME | ACCOUNT_NUMBER |
---------------+----------------+
  ACME         | 1000           |
---------------+----------------+

다음과 같이 행 액세스 정책과 태그 기반 마스킹 정책으로 테이블과 테이블의 열을 보호합니다.

1. 정책 조건에서 SYSTEM$GET_TAG_ON_CURRENT_TABLE 함수를 호출하는 행 액세스 정책을 만듭니다.

   USE ROLE row_access_admin;
   USE SCHEMA governance.row_access_policies;
   
   CREATE ROW ACCESS POLICY rap_tag_value
   AS (account_number number)
   RETURNS BOOLEAN ->
   SYSTEM$GET_TAG_ON_CURRENT_TABLE('tags.accounting_row_string') = 'visible'
   AND
   'accounting_admin' = CURRENT_ROLE();
   

   Copy

   이 정책에서는 'visible' 이라는 문자열 값을 가진 테이블에 accounting_row_string 태그가 할당되고 테이블이나 테이블의 열에 대한 쿼리를 실행하는 역할이 accounting_admin 사용자 지정 역할일 때만 Snowflake가 쿼리 결과의 행을 반환하도록 지정합니다.

   다음 중 하나라도 해당되는 사항이 있으면 Snowflake에서는 쿼리 결과에 행을 반환하지 않습니다.

   • accounting_row_string 태그가 테이블에 설정되어 있지 않습니다.

   • accounting_row_string 태그가 테이블에 설정되지만 다른 문자열 값으로 설정됩니다.

   • 테이블 또는 테이블의 열에 대한 쿼리를 실행하는 역할이 accounting_admin 사용자 지정 역할이 아닙니다.

2. 테이블에 행 액세스 정책을 할당합니다.

   ALTER TABLE finance.accounting.name_number
     ADD ROW ACCESS POLICY rap_tag_value ON (account_number);
   

   Copy

   절차 진행 중 이 시점에서는 accounting_row_string 태그가 테이블에 할당되지 않으므로 테이블에 대한 쿼리에서 Snowflake의 어떤 역할에 대한 쿼리 결과에 어떤 행도 반환해서는 안 됩니다. 따라서 테이블에 대한 쿼리의 예상 결과는 다음과 같습니다.

   USE ROLE accounting_admin;
   SELECT * FROM finance.accounting.name_number;
   

   Copy

   반환 결과:

   ---------------+----------------+
     ACCOUNT_NAME | ACCOUNT_NUMBER |
   ---------------+----------------+
                  |                |
   ---------------+----------------+
   

   테이블에 태그 기반 마스킹 정책을 할당하기 전에 테이블에 행 액세스 정책을 할당하도록 선택하면 테이블 데이터가 전부 최대한 일찍 보호됩니다.

3. governance.tags 라는 스키마에 accounting_row_string 이라는 태그를 만듭니다.

   USE ROLE tag_admin;
   USE SCHEMA governance.tags;
   CREATE TAG accounting_row_string;
   

   Copy

4. ACCOUNT_NAME 및 ACCOUNT_NUMBER 열을 보호하는 다른 마스킹 정책을 만듭니다. 이러한 각각의 정책에서 열의 현재 태그 문자열 값이 'visible' 로 설정된 경우에만 원시 데이터가 표시됩니다.

   계좌명 정책:

   USE ROLE masking_admin;
   USE SCHEMA governance.masking_policies;
   
   CREATE MASKING POLICY account_name_mask AS (val string) RETURNS string ->
     CASE
       WHEN SYSTEM$GET_TAG_ON_CURRENT_COLUMN('tags.accounting_row_string') = 'visible' THEN val
       ELSE '***MASKED***'
     END;
   

   Copy

   계좌 번호 정책:

   CREATE MASKING POLICY account_number_mask AS (val number) RETURNS number ->
     CASE
       WHEN SYSTEM$GET_TAG_ON_CURRENT_COLUMN('tags.accounting_row_string') = 'visible' THEN val
       ELSE -1
     END;
   

   Copy

5. 두 마스킹 정책을 모두 accounting_row_string 태그에 할당합니다. 두 정책 모두 단일 문으로 태그에 할당할 수 있습니다.

   ALTER TAG governance.tags.accounting_row_string SET
     MASKING POLICY account_name_mask,
     MASKING POLICY account_number_mask;
   

   Copy

6. 태그 문자열 값이 'visible' 인 테이블에 accounting_row_string 태그를 할당합니다.

   ALTER TABLE finance.accounting.name_number
     SET TAG governance.tags.accounting_row_string = 'visible';
   

   Copy

   이제 문자열 값이 visible 인 테이블에 태그가 할당되었으므로 accounting_admin 사용자 지정 역할만 테이블 데이터를 볼 수 있고, 다른 역할을 가진 사용자가 수행한 쿼리에서는 이 예의 앞부분에 표시된 것처럼 반환되는 행이 없어야 합니다. 다시 말해, 행 액세스 정책의 조건이 이제는 true로 평가됩니다.

   마찬가지로, 열이 태그 계보를 통해 태그와 태그의 문자열 값을 상속하므로 테이블 열에도 visible 태그의 태그 문자열 값이 있습니다. 그 결과, 다음과 같이 accounting_admin 사용자 지정 역할을 가진 사용자가 테이블을 쿼리할 때 Snowflake는 마스킹되지 않은 데이터를 반환합니다.

   USE ROLE accounting_admin;
   SELECT * FROM finance.accounting.name_number;
   

   Copy

   반환 결과:

   ---------------+----------------+
     ACCOUNT_NAME | ACCOUNT_NUMBER |
   ---------------+----------------+
     ACME         | 1000           |
   ---------------+----------------+
   

7. 어느 한 열의 데이터를 마스킹하려면 그 열의 태그 문자열 값을 직접 업데이트하십시오. 예를 들어, ACCOUNT_NUMBER 열의 데이터를 마스킹하는 방법은 다음과 같습니다.

   ALTER TABLE finance.accounting.name_number MODIFY COLUMN
     account_number SET TAG governance.tags.accounting_row_string = 'protect';
   

   Copy

   이제 accounting_admin 사용자 지정 역할을 가진 사용자가 테이블이나 ACCOUNT_NUMBER 열을 쿼리할 때 다음과 같이 Snowflake는 마스킹된 데이터를 반환합니다.

   USE ROLE accounting_admin;
   SELECT * FROM finance.accounting.name_number;
   

   Copy

   반환 결과:

   ---------------+----------------+
     ACCOUNT_NAME | ACCOUNT_NUMBER |
   ---------------+----------------+
     ACME         | -1             |
   ---------------+----------------+