動的データマスキングは、基になるデータを変更せずに、表示されるクエリ結果を変更します。マスキングルールは、マスクするデータの範囲と特定のマスキングメソッドを定義します。このトピックでは、動的データマスキングルールの作成方法と管理方法について説明します。
制限事項
現在、データマスキングは Dataphin テーブルのフィールドにのみ適用されます。
権限
セキュリティ管理者、およびマスキングルールとデータ分類を管理する権限を含むグローバルカスタムロールを持つユーザーは、動的データマスキングルールを作成および管理できます。
レベル 1 ディレクトリ管理者は、自身が管理するデータ分類に対してマスキングルールを設定できます。
マスキングルールの所有者はそのルールを管理できます。ただし、その操作はデータ分類の管理権限によっても制限されます。
マスキングルール
動的データマスキングルールは、通常、本番環境で機密データをクエリする場合に使用されます。指定された条件に一致するデータを変換または暗号化することで、機密性の高い個人データを保護します。
開発テーブルへの書き込みやデータクエリを実行すると、指定されたデータボードまたはプロジェクトに属し、選択されたデータ分類でタグ付けされたフィールドのデータがマスクされます。マスキングは、設定されたマスキングメソッドとマスキングアルゴリズムに従って行われます。
動的データマスキングルールの作成
Dataphin ホームページのトップナビゲーションバーで、[ガバナンス] > [データセキュリティ] の順に選択します。
左側のナビゲーションウィンドウで、[機密データ保護] > [マスキングルール] を選択します。[マスキングルール] ページで、[動的データマスキングルール] タブをクリックし、[+ 新しい動的データマスキングルール] をクリックします。
[新しい動的データマスキングルール] ダイアログボックスで、パラメーターを設定します。
パラメーター
説明
[ルール名]
動的データマスキングルールの名前を入力します。例：
ID_Card_Number_Masking。[説明]
ルールの説明を入力します。説明は 200 文字以内で入力してください。例：本番環境から開発環境にデータを読み込みます。
データ分類
管理権限を持つデータ分類を選択します。例：/個人情報/基本情報/ID カード。
データボード
データボードの範囲を指定します。[すべて] または [列挙] を選択できます。
[プロジェクト]
プロジェクトの範囲を指定します。[すべて] または [列挙] を選択できます。
[適用シナリオ]
データマスキングが適用される適用シナリオを選択します。サポートされているシナリオは [開発テーブルへの書き込み] と [データクエリ] です。
[開発テーブルへの書き込み]：ソーステーブルから機密データをクエリした結果を、開発テーブルに書き込む前にマスクします。これにより、本番環境からの機密データの漏洩を防ぎます。特殊なケースとして、個人アカウントから Basic テーブルへの書き込みも、開発テーブルへの書き込みとして扱われます。
[データクエリ]：ワンタイムタスク実行、アドホッククエリ、分析クエリなど、本番スケジューリングに含まれないクエリの
SELECT文の結果をマスクします。これにより、本番タスクの正常な運用に影響を与えることなく、機密データを保護します。
説明堅牢なデータ保護のため、[開発テーブルへの書き込み] と [データクエリ] の両方の適用シナリオを有効にすることを推奨します。
開発環境でマスクされていない元のデータを分析するには、動的マスキングホワイトリストを使用して正確な制御を行います。ホワイトリストを使用すると、プレーンテキストデータを特定のデータテーブルに書き込むことができます。このユースケースでは、マスキングメソッドをプレゼンテーションレベルマスキングに設定します。
マスキング方法
マスキングメソッドには [バックエンドマスキング] と [プレゼンテーションレベルマスキング] があります。
[バックエンドマスキング]：データはクエリされるとすぐにマスクされます。SQL クエリ内の後続のすべての処理ではマスクされたデータが使用されるため、より強力なデータ保護が提供されます。
[プレゼンテーションレベルマスキング]：データは最終的な表示段階でのみマスクされます。SQL 処理中は元のプレーンテキストが使用されるため、
WHEREやJOINなどの単純な条件との互換性が保たれます。機密フィールドで部分文字列操作などのユーザー定義関数 (UDF) を使用すると、マスキングのダウングレードがトリガーされることに注意してください。派生フィールドは***としてマスクされます。
マスキング アルゴリズム
アイコンが付いているアルゴリズムは高度なアルゴリズムです。これらのアルゴリズムを使用するには、データが存在するプロジェクトにセキュリティ関数をインストールする必要があります。インストールしない場合、デフォルトのマスキングメソッド (MD5) にダウングレードされます。マスキングアルゴリズムには、[墨消しマスク]、[ハッシュマスキング]、[暗号化]、[その他] があります。説明コンピュートエンジンが Doris の場合、誕生日、携帯電話、携帯電話 (長さ非表示)、固定電話、固定電話 (長さ非表示)、SHA256、SHA384、および SHA512 のマスキングアルゴリズムを使用するには、Apache Doris v2.1.x 以降を使用する必要があります。
ハッシュマスキング
マスキングキーを必要とするアルゴリズムには、[ハッシュマスキング - Salted SHA256]、[ハッシュマスキング - Salted SHA384]、[ハッシュマスキング - Salted MD5]、[ハッシュマスキング - Salted SHA512] があります。
[マスキングキー]：Salted ハッシュマスキングアルゴリズムの必須パラメーターで、厳密なフォーマット要件はありません。
[墨消しマスク]
[墨消しマスク][-キーワード置換]
正規表現と置換文字列のパラメーターを設定する必要があります。
[墨消しマスク - カスタムマスク]、[墨消しマスク -][カスタムマスク (カスタム置換値)]
開始位置、終了位置、置換内容のマスキングパラメーターのセットを設定する必要があります。これらのパラメーターのペアは追加または削除できます。
暗号化: コンピュートエンジンが MaxCompute の場合、暗号化 マスキングアルゴリズムをサポートします。
[ネイティブ FPE (フォーマット保持暗号化)] を選択した場合は、暗号化アルファベットとトゥイークを設定する必要があります。[FPE (フォーマット保持暗号化)] を選択した場合は、暗号化範囲を設定する必要があります。詳細については、「暗号化変換コンポーネントの設定」をご参照ください。
[暗号化アルファベット]: 暗号化に使用される文字。サポートされているオプションには、[組み込み]（「数字」、「英大文字」、「英小文字」、「数字 + 英大文字」、「数字 + 英小文字」、「数字 + 英字」、および「特殊文字」）および[カスタム]が含まれます。
[トゥイーク]：このパラメーターを使用すると、同じプレーンテキストとキーでも、状況に応じて異なる暗号文を生成できます。これにより、暗号文の一意性とセキュリティが向上します。任意の文字がサポートされています。
[暗号化範囲]：指定した範囲の文字またはすべての文字を暗号化できます。暗号化と復号の範囲は一致している必要があります。一致していない場合、復号された結果が元のデータと一致しない可能性があります。
[例外処理]：プレーンテキストが暗号化または復号アルゴリズムと互換性がない、キーの不一致、エンコード形式の不一致などのエラーが発生した場合、システムは選択されたポリシーに基づいてプレーンテキストデータを処理します。[Null を返す]、[プレーンテキストを返す]、または [例外をスローする] を選択できます。
暗号鍵を設定する必要はありません。システムは独自のキーを使用して暗号化を行い、マスクされたデータのリバースエンジニアリングや機密情報の漏洩を防ぎます。
さまざまなアルゴリズムの効果をテストできます。詳細については、「セキュリティアルゴリズムのテスト」をご参照ください。
セキュリティアルゴリズムの詳細な説明については、「セキュリティアルゴリズムの概要」および「セキュリティアルゴリズムの例」をご参照ください。
各コンピュートエンジンでサポートされるマスキングアルゴリズムのリストについては、「各コンピュートエンジンでサポートされるマスキングメソッド」をご参照ください。
ステータス
マスキングルールを有効化または無効化するには、[有効] または [無効] を選択します。
[OK] をクリックして、動的データマスキングルールを作成します。
デフォルトのマスキングポリシー
デフォルトのマスキングポリシーは、フォールバックのデータ保護戦略です。特定のマスキングルールでカバーされていない Dataphin テーブル内の機密データに対して、均一な保護を提供します。
セキュリティ管理者のみがデフォルトのマスキングポリシーを設定できます。
[マスキングルール] ページで、[動的データマスキングルール] タブをクリックし、[デフォルトのマスキングポリシー] をクリックします。
[デフォルトのマスキングポリシー] ダイアログボックスで、パラメーターを設定します。
パラメーター
説明
データ感度レベル
データ感度レベルは、低いものから順に [公開 (L1) 以上]、[内部 (L2) 以上]、[機密 (L3) 以上]、[極秘 (L4) 以上] です。新しいデータ感度レベルを作成するには、「データ感度レベルの作成」をご参照ください。
[マスキングアルゴリズム]
[Null を返す]、[MD5 ハッシュ値を返す]、[マスクされた値を返す (固定長 ***)]、[マスキングなし] の 4 つのマスキングアルゴリズムから 1 つを選択できます。
[OK] をクリックして、デフォルトのマスキングポリシーを作成します。
動的データマスキングルールの管理
動的データマスキングルールの詳細を表示し、編集、転送、削除などの操作を実行できます。
エリア | 説明 |
① マスキングルールの概要 | 動的データマスキングルール、動的マスキングホワイトリスト、静的マスキングルールについて説明します。 |
② フィルターおよび検索エリア | ルール名またはデータ分類であいまい検索を実行できます。また、[マスキングタイプ] と [適用シナリオ] でリストをフィルターすることもできます。 |
③ 動的データマスキングルールリスト | マスキングルールのリストを、名前、データ分類、マスキングアルゴリズム、適用シナリオ、所有者、更新日時、ステータスとともに表示します。[操作] 列では、ルールに対して次の操作を実行できます：[編集]、[転送]、[削除]、[マスキングアルゴリズムの表示]、[マスキングホワイトリストの表示]。
|