Hologres：Data masking

• Mengimpor data dari tabel dan kolom dengan aturan masking ke tabel dan kolom tanpa aturan masking tidak didukung. Pesan error terkait adalah sebagai berikut.

  Error: ERROR: The insert table has not set SECURITY LABEL

• Kueri UNION dan DISTINCT pada tabel dengan aturan masking tidak didukung. Pesan error terkait adalah sebagai berikut.

  Error: ERROR: UNION is not support on security item

• Penyamaran data dapat memengaruhi kinerja kueri. Dampaknya tergantung pada metode masking dan volume data. Kinerja dapat menurun 10% hingga 20%. Dalam skenario ekstrem, kinerja dapat menurun beberapa kali lipat.

• Menetapkan aturan masking untuk tabel eksternal tidak didukung.

Menetapkan aturan penyamaran

Hologres mendukung pengaturan penyamaran data untuk kolom target atau pengguna target. Sebelum menetapkan penyamaran data, Anda harus mengaktifkan parameter GUC penyamaran data. Untuk informasi lebih lanjut, lihat Persiapan.

• Sintaks

  • Menetapkan kebijakan penyamaran untuk kolom

    Untuk memask data di beberapa kolom, jalankan pernyataan ini beberapa kali.

    SECURITY LABEL FOR hg_anon ON COLUMN <tablename>.<col_name> IS <label_name>/'default_value';

  • Menetapkan kebijakan penyamaran untuk pengguna

     SECURITY LABEL FOR hg_anon ON ROLE <user_name> IS '[<label_name>|all]:[masked|unmasked]';

• Deskripsi parameter

  Parameter	Deskripsi
  hg_anon	`hg_anon` adalah Fungsi ekstensi yang dikapsulkan dalam Hologres. Anda harus memanggil Fungsi ekstensi ini untuk mengaktifkan fitur penyamaran data.
  tablename	Nama tabel yang berisi kolom yang akan disamarkan.
  col_name	Nama kolom yang akan disamarkan.
  label_name	Fungsi masking preset dalam sistem. Anda dapat menjalankan SHOW hg_anon_labels; untuk melihat `label_name` yang ditetapkan untuk database saat ini.
  user_name	ID akun. Anda dapat memperolehnya dari halaman Informasi Pengguna.
  masked|unmasked	masked: Gunakan data masking. unmasked: Jangan gunakan data masking.

  Tabel berikut menjelaskan nilai label_name preset.

  Tipe data	label_name	Kebijakan penyamaran	Jenis penyamaran	Deskripsi	Contoh masking
  TEXT	name	name	mask	Masking nama.	Sebelum: Li Hua; Setelah: * Hua. Sebelum: Wang Xiaoqiang; Setelah: ** Qiang.
  	email	email	mask	Masking alamat email.	Sebelum: lihu***@alibaba.com; Setelah: lih***@alibaba.com.
  	ip	ip	mask	Masking alamat IP.	Sebelum: 1.2.3.4; Setelah: 1.*.*.*.
  	id	id	mask	Masking nomor KTP.	Sebelum: 110345188812011234; Setelah: 1****************4.
  	phone	phone	mask	Masking nomor telepon.	Sebelum: 1390000****; Setelah: *********34.
  	bank_id	bank_id	mask	Masking akun kartu bank atau kartu kredit.	Sebelum: 2349867902834701928; Setelah: ***************1928.
  	hash	md5	hash	Gunakan algoritma MD5 untuk masking.	Sebelum: Wenyi West Road, Hangzhou, Zhejiang; Setelah: dbf894b409d4a2ef17dfd9c7fdcafcd8.
  	first_mask	first_mask	mask	Aturan `first_mask` didefinisikan untuk hanya menampilkan karakter pertama.	Sebelum: 123456789; Setelah: 1********.
  Tipe seperti INT dan FLOAT	Default	default_value	default_value	Mask dengan nilai default. Catatan Jika `label_name` tidak ada saat Anda menetapkan data masking, sistem akan kembali ke masking nilai default. Ini hanya didukung di Hologres V3.1 dan yang lebih baru.	Pemetaan antara tipe data dan nilai masked default adalah sebagai berikut: TEXT/VARCHAR/CHAR: *** BOOLEAN: false INT8/INT4/INT2: 0 TIMESTAMPTZ/TIMESTAMP: 2000-01-01 00:00:00 FLOAT8/FLOAT4/DECIMAL/NUMERIC: 0.0 MONEY: 0 DATE: 2000-01-01 TIME/TIMETZ: waktu saat ini UUID: 00000000-0000-0000-0000-000000000000

Lihat aturan masking yang ditetapkan

• Lihat masking yang ditetapkan untuk kolom

  -- Lihat masking yang ditetapkan untuk kolom
  SELECT c.relname, a.attname, provider, label
  FROM pg_seclabel s
  JOIN pg_class c ON s.objoid = c.oid
  JOIN pg_attribute a ON s.objoid = a.attrelid AND s.objsubid = a.attnum;

• Lihat masking yang ditetapkan untuk pengguna

  -- Lihat aturan masking yang ditetapkan untuk pengguna
  SELECT
      usename,
      label
  FROM
      pg_shseclabel s
      INNER JOIN pg_catalog.pg_user u ON s.objoid = u.usesysid;

Memodifikasi aturan penyamaran kustom

Jika aturan masking yang ditetapkan tidak memenuhi kebutuhan Anda, Anda dapat menyesuaikannya dengan mengubah parameter GUC hg_anon_lables.

• Sintaks

  -- label_name is your custom name, and method is a built-in Hologres method.
  ALTER DATABASE <db_name> SET hg_anon_labels = '[   
  {"label": <label_name1>, "method":<method1>},  
  {"label": <label_name2>, "method":<method2>}, 
  ...  ]'; 

  Setelah menjalankan perintah ALTER DATABASE, perubahan tidak berlaku pada koneksi saat ini. Anda harus membuat koneksi baru. Anda dapat menggunakan perintah berikut untuk memeriksa apakah pengaturan telah berlaku.

  SHOW hg_anon_enable;

• Contoh

  ALTER DATABASE test_db SET hg_anon_labels = '[
  {"label":"ip", "method":{"desensType":"mask", "type":"ip"}},
  {"label":"email", "method":{"desensType":"mask", "type":"email"}},
  {"label":"name", "method":{"desensType":"mask", "type":"name"}},
  {"label":"first_mask", "method":{"desensType":"mask", "type":"user_define", "before":1, "after":0}},
  {"label":"hash", "method":{"desensType":"hash", "type":"md5", "salt":""}}]';

  Deskripsi parameter:

  Item penyamaran	Deskripsi konten masking	Contoh hasil masking
  {"desensType":"mask", "type":"ip"}	Masking alamat IP.	192.*.*.*
  {"desensType":"mask", "type":"email"}	Masking alamat email.	abc***@example.net
  {"desensType":"mask", "type":"name"}	Masking nama.	*Lima
  {"desensType":"hash", "type":"md5", "salt":""}	Masking hash.	e086aa137fa19f67d27b39d0eca186103228f322c9c98a125554a24f875f0f7e
  {"label":"first_mask", "method":{"desensType":"mask", "type":"user_define", "before":1, "after":0}}{"label":"last_mask", "method":{"desensType":"mask", "type":"user_define", "before":0, "after":1}}	Masking konten kustom.	None

Data sampel

Siapkan sumber data. Anda juga dapat menggunakan data bisnis Anda sendiri.

-- Buat database
CREATE DATABASE hg_anon_demo;
-- Buat tabel data sampel
DROP TABLE IF EXISTS personal_basic_information;
CREATE TABLE personal_basic_information  
(
    name TEXT
    ,email TEXT
    ,ip TEXT
    ,id TEXT 
    ,phone TEXT
    ,bank_id TEXT);
-- Masukkan data sampel
INSERT INTO personal_basic_information(name,email,ip,id,phone,bank_id) VALUES 
('Zhang San','jiaxi***@alibaba-inc.com','127.0.0.1','142732199104050022','18157161223','4514610803067088'),
('Li Si','wb-hy583***@antgroup.com','127.0.0.1','510622198412248000','15757121834','6252470010027800'),
('Li Xiaoyao','wb-hy583***@antgroup.com','172.21.4.234','511025198812271696','18215451832','6252470010027800');

Menetapkan aturan penyamaran untuk kolom

-- Buat fungsi ekstensi hg_anon.
CREATE EXTENSION IF NOT EXISTS hg_anon;

-- Aktifkan fitur data masking untuk database hg_anon_demo.
ALTER DATABASE hg_anon_demo SET hg_anon_enable = on;

-- Tetapkan aturan masking untuk setiap kolom.
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.name IS 'name';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.id IS 'id';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.phone IS 'phone';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.email IS 'email';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.bank_id IS 'bank_id';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.ip IS 'ip';

Setelah membuat koneksi baru, gunakan perintah berikut untuk melihat hasil yang telah dimasking.

SELECT * FROM personal_basic_information;

Hasil berikut dikembalikan.

name |         email          |      ip      |         id         |    phone    |     bank_id      
------+------------------------+--------------+--------------------+-------------+------------------
 * Si  | wb-***@antgroup.com    | 127.*.*.*    | 5****************0 | *********34 | ************7800
 ** Yao | wb-***@antgroup.com    | 172.**.*.*** | 5****************6 | *********32 | ************7800
 * San  | jia***@alibaba-inc.com | 127.*.*.*    | 1****************2 | *********23 | ************7088
(3 rows)

Membatalkan penyamaran untuk kolom

SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.name IS null;
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.id IS null;

Gunakan perintah berikut untuk melihat hasil setelah membatalkan masking untuk kolom.

SELECT name,id FROM personal_basic_information;

Hasil berikut dikembalikan.

SELECT name,id FROM personal_basic_information;
  name  |         id         
--------+--------------------
 Li Si   | 510622198412248000
 Li Xiaoyao | 511025198812271696
 Zhang San   | 142732199104050022
(3 rows)

Membatalkan aturan penyamaran untuk pengguna

-- Batalkan semua masking untuk akun BASIC$test.
SECURITY LABEL FOR hg_anon ON ROLE "BASIC$test" IS 'all:unmasked';

Gunakan perintah berikut untuk melihat hasil setelah membatalkan masking untuk pengguna.

SELECT * FROM personal_basic_information;

Hasil berikut dikembalikan.

  name  |          email           |      ip      |         id         |    phone    |     bank_id      
--------+--------------------------+--------------+--------------------+-------------+------------------
 Li Si   | wb-hy583***@antgroup.com | 127.0.0.1    | 510622198412248000 | 15757121834 | 6252470010027800
 Li Xiaoyao | wb-hy583***@antgroup.com | 172.21.4.234 | 511025198812271696 | 18215451832 | 6252470010027800
 Zhang San   | jiaxi***@alibaba-inc.com | 127.0.0.1    | 142732199104050022 | 18157161223 | 4514610803067088
(3 rows)

Menetapkan penyamaran untuk kolom JOIN

-- Contoh penetapan masking untuk kolom JOIN
CREATE TABLE tbl1 (
    id text
);
INSERT INTO tbl1
    VALUES ('142732199102290022');

-- Kolom id tabel personal_basic_information sudah dimasking.
SELECT * FROM personal_basic_information a JOIN tbl1 b ON a.id = b.id;

Hasil berikut dikembalikan.

name | email | ip | id | phone | bank_id | id 
------+-------+----+----+-------+---------+----
(0 rows)