:データマスキングの設定と実行

機能概要

静的マスキングタスクを作成する際、既存のマスキングテンプレートをタスクのマスキングルールとして選択するか、対象の機密フィールドに直接マスキングアルゴリズムを設定することができます。マスキングテンプレートの設定については、「マスキングテンプレートとアルゴリズムの設定」をご参照ください。

前提条件

データベースまたは OSS ファイルに静的マスキングを使用する場合は、DSC の権限付与を完了し、マスクするデータ資産を接続します。手順については、以下をご参照ください：

• RDS、PolarDB-X、PolarDB、OceanBase、および AnalyticDB for MySQL テーブルの権限付与と接続。

• MaxCompute データの権限付与と接続。

• ECS 上の自己管理データベースの権限付与と接続。

• OSS バケットの権限付与と接続。

マスキングタスクの作成

マスキングタスクを作成して、データマスキングのスコープとルールを定義します。

1. Data Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risksを選択します。

3. Static Desensitization タブで、Task Configurations タブに移動し、Add Desensitization Task をクリックします。

4. ページのプロンプトに従って、マスキングタスクを設定します。

   1. Basic Task Information を入力し、Next をクリックします。

      説明

      タスク名に制限はありません。

   2. マスキング対象のソースファイル情報を設定し、Next をクリックします。

      RDS テーブル / PolarDB-X テーブル / MaxCompute テーブル / PolarDB テーブル / OceanBase テーブル / AnalyticDB for MySQL テーブル / 自己管理データベースのテーブル

      マスキングソース設定項目	必須	説明
      Types of data storage	はい	[RDS テーブル / PolarDB-X テーブル / MaxCompute テーブル / PolarDB テーブル / OceanBase テーブル / AnalyticDB for MySQL テーブル / 自己管理データベースのテーブル] を選択します。
      Source Service	はい	マスクするデータを含むプロダクトを選択します。サポートされているプロダクトには、[RDS]、[PolarDB-X]、[OceanBase]、[MaxCompute]、AnalyticDB for MySQL、[PolarDB]、または [自己管理データベース] が含まれます。
      Source Database/Project	はい	マスクするデータを含むテーブルがあるプロジェクトを選択します。
      SOURCE table name	はい	マスクするデータを含むテーブルを選択します。
      Source Partition	いいえ	Source Partition は、Source Service が [MaxCompute] に設定されている場合にのみ設定できます。 マスクするデータのパーティション名を入力します。これを空白のままにすると、テーブル内のすべての機密データがマスクされます。 パーティションは、MaxCompute テーブルを作成する際に定義されるスペースで、データをリージョンごとに制限し、高速で効率的なクエリを可能にします。詳細については、「パーティション」をご参照ください。
      Sample SQL	いいえ	Source Service が [RDS]、[PolarDB-X]、[OceanBase]、または [自己管理データベース] に設定されている場合、Sample SQL を設定できます。 SQL ステートメントを入力して、マスキングのデータスコープを定義します。これを空白のままにすると、テーブル全体がマスクされます。

      OSS ファイル

      重要

      TXT、CSV、XLSX、および XLS 形式の構造化されたファイルのマスキングのみをサポートします。

      マスキングソース設定項目	必須	説明
      Types of data storage	はい	OSS files を選択します。
      File source	はい	OSS ファイルソースを選択します。 オプションはUploaded Local Fileと[OSS バケット]です。
      ファイルのアップロード	はい	File source が Uploaded Local File の場合、Select a local file をクリックしてマスクするファイルをアップロードします。
      OSS Bucket where the source file is located	はい	File source が [OSS バケット] の場合、ドロップダウンリストからソースファイルを含むバケットを選択します。キーワードを入力してバケットを検索および選択することもできます。
      ソースファイル名	はい	File source が [OSS バケット] の場合、拡張子を含むソースファイル名を入力します。 単一ファイルのマスキング：正確なファイル名を入力します。例：test.csv。 ファイルの一括マスキング: Open the pass スイッチをクリックしてワイルドカードモードを有効にします。システムは、同じフォーマットと列構造を共有するすべての対象ファイルに、同じルールを適用します。 アスタリスク (*) を使用して、マスキング対象のファイル群を指定します。現在、ファイル名のプレフィックスのみがサポートされています。例：test*.xls は、test で始まるすべての XLS ファイルに一致します。
      Source file description (optional)	いいえ	File source が Uploaded Local File の場合、OSS ソースファイルの説明を入力できます。
      Separator selection	いいえ	CSV および TXT ファイルの場合、ソースファイルに基づいて列区切り文字を指定します。サポートされている区切り文字は次のとおりです： セミコロン「;」(macOS および Linux のデフォルト)。 カンマ「,」(Windows のデフォルト)。 縦棒「|」。
      Table contains header rows	いいえ	ソースファイルにヘッダー行が含まれているかどうかに基づいて選択します。

   3. マスキングアルゴリズムを設定し、Next をクリックします。

      利用可能なマスキングアルゴリズムには、墨消しマスキング (先頭 n 文字と末尾 m 文字を保持など)、シャッフルマスキング (ランダムシャッフルなど)、および置換マスキング (ID カードマッピング置換など) があります。フィールドタイプ (名前、電話番号、ID 番号など) に基づいてアルゴリズムを選択します。

      • データリストの上にある既存のマスキングテンプレートを選択します。ソースフィールドリストは自動的に Desensitization を有効にし、テンプレートに基づいて Select Algorithm を設定します。

        マスキングテンプレートのルールリストは、マスクするデータのソースフィールドと一致する必要があります。そうでない場合、テンプレートは有効になりません。マスキングテンプレートの設定については、「マスキングテンプレートとアルゴリズムの設定」をご参照ください。

      • ソースフィールドリストで、マスクするフィールドを見つけ、Desensitization を有効にし、Select Algorithm を設定します。

      マスキングアルゴリズムの横にある View and Modify Parameters をクリックして、そのルールを表示および編集します。パーティション構文については、パーティション構文リファレンス表をご参照ください。

      説明

      Forcefully Enable Template を有効にすると、このページでアルゴリズムパラメーターを変更することはできません。代わりにテンプレートルールを変更してください。

      パーティション構文リファレンス表

      パーティションタイプ	パーティション構文	パーティション例
      次の N 週間	カスタムパーティションフィールド名=$[yyyymmdd+7*N]	time=$[20190710+7*1] は、2019 年 7 月 10 日から 1 週間後のデータをマスクします。
      前の N 週間	カスタムパーティションフィールド名=$[yyyymmdd-7*N]	time=$[20190710-7*3] は、2019 年 7 月 10 日から 3 週間前のデータをマスクします。
      次の N 日間	カスタムパーティションフィールド名=$[yyyymmdd+N]	time=$[20190710+2] は、2019 年 7 月 10 日の翌 2 日間のデータをマスクします。
      前の N 日間	カスタムパーティションフィールド名=$[yyyymmdd-N]	time=$[20190710-5] は、2019 年 7 月 10 日から 5 日前のデータをマスクします。
      次の N 時間	カスタムパーティションフィールド名=$[hh24mi:ss+N/24]	time=$[0924mi:ss+2/24] は、午前 9 時から 2 時間後のデータをマスクします。
      前の N 時間	カスタムパーティションフィールド名=$[hh24mi:ss-N/24]	time=$[0924mi:ss-1/24] は、午前 9 時から 1 時間前のデータをマスクします。
      次の N 分間	カスタムパーティションフィールド名=$[hh24mi:ss+N/24/60]	time=$[0924mi:ss+2/24/60] は、午前 9 時から 2 分後のデータをマスクします。
      前の N 分間	カスタムパーティションフィールド名=$[hh24mi:ss-N/24/60]	time=$[0924mi:ss-2/24/60] は、午前 9 時から 2 分前のデータをマスクします。

5. マスキングされたデータを保存する宛先を設定し、Test をクリックして書き込み権限を確認し、次に Next をクリックします。

   重要

   DSC が宛先データ資産に接続するために使用するアカウントには、書き込み権限が必要です。

   設定項目には、[データストレージタイプ] ([RDS テーブル / PolarDB-X テーブル / MaxCompute テーブル / PolarDB テーブル / OceanBase テーブル / ADB-MySQL テーブル / 自己管理データベースのテーブル] または [OSS ファイル] を選択)、[宛先] (RDS など)、[宛先データベース/プロジェクト名]、および宛先テーブル名が含まれます。データベースまたはテーブルが見つからない場合は、資産の権限付与を確認してマスキングが有効になっていることを確認してください。

6. 処理ロジックを確認します。

   宛先設定項目	必須	説明
   トリガー方法	はい	トリガー方法は、マスキングタスクの実行方法を決定します。オプションは次のとおりです： Manual Only：マスキングタスクを手動で開始します。 Scheduled Only：マスキングタスクをスケジュールされた時刻 (毎時、毎日、毎月、または毎週) に自動的に実行します。 Manual + Scheduled：Start をクリックして手動でタスクを開始するか、システムがスケジュールされた時刻 (毎時、毎日、毎月、または毎週) に自動的に実行させます。
   増分マスキングを有効にする	いいえ	必要に応じて増分マスキングを有効にします。増分マスキングは、最後のマスキングタスク以降に追加された新しいデータのみを処理します。作成時刻や自動インクリメント ID (データベースの組み込み自動インクリメント列) など、時間とともに増加するフィールドを増分列として選択します。 重要 RDS データのみが増分マスキングをサポートします。
   シャードフィールド	いいえ	DSC は、静的マスキング中にフィールドによってソースデータをシャーディングし、並列処理によって効率を向上させます。必要に応じてシャードフィールドを選択します。複数のフィールドがサポートされています。 RDS データベースのみが増分マスキングをサポートします。プライマリキーまたは一意のインデックスをシャードフィールドとして使用します。 シャーディングフィールド選択ボックスでフィールドが選択されていない場合、DSC はプライマリキーをデフォルトのシャーディングフィールドとして使用してソースデータをマスクします。 重要 ソースデータにプライマリキーがない場合は、シャードフィールドを選択する必要があります。そうしないと、マスキングタスクは失敗します。 シャードフィールドが多すぎると、クエリのパフォーマンスとデータの精度に影響を与える可能性があります。慎重に選択してください。
   テーブル名の競合解決	はい	テーブル名の競合を処理する方法。オプション： 宛先テーブルを削除し、同じ名前の新しいテーブルを作成する。 宛先テーブルに新しいデータを追加する。このオプションを推奨します。
   行の競合解決	はい	テーブル内の行の競合を処理する方法。オプション： 宛先テーブルの競合する行を保持し、新しいデータを破棄する。このオプションを推奨します。 宛先テーブルから競合する行を削除し、新しいデータを挿入する。

7. Submit をクリックします。

マスキングタスクの実行と表示

トリガー方法が Manual Only の場合、タスクを手動で開始する必要があります。Scheduled Only の場合、タスクはスケジュールされた時刻に自動的に実行されます。Manual + Scheduled の場合、手動または自動で開始できます。

1. Static Desensitization タブの Task Configurations で、Actions 列の Start をクリックしてタスクを実行します。

   タスクリストには、タスク ID、タスク名、作成時刻、宛先プロダクト、ソースプロダクト、実行回数などが表示されます。[操作] 列には、切り替え、[削除]、[編集]、および [実行] ボタンが含まれます。これらのボタンは、タスクが実行中の間は無効になります。

2. Static Desensitization タブで、Status サブタブをクリックして、実行の進捗とステータスを表示します。

   タスクステータスリストには、[タスク ID]、[実行時間]、[終了時間]、[実行回数]、[実行方法]、[ソースプロダクトタイプ]、[宛先プロダクトタイプ]、および [実行進捗] の列が含まれます。[操作] 列には、[タスクの停止]、[サブタスクの表示]、および [マスキング済みファイルのダウンロード] へのリンクがあります。

失敗したマスキングタスクのトラブルシューティング

マスキングタスクが失敗した場合は、以下を参照して原因を特定してください。

マスキングタスクの編集または削除

実行待機中または実行中のマスキングタスクは編集または削除できません。

• マスキングタスクの編集

  タスク設定を調整するには、対象タスクの Actions 列にある Modify をクリックします。

• マスキングタスクの削除

  重要

  削除されたマスキングタスクは復元できません。慎重に進めてください。

  不要になったタスクを削除するには、対象タスクの Actions 列にある Delete をクリックし、確認ダイアログボックスで OK をクリックします。

機能概要

動的マスキングタスクでは、指定されたデータをマスクするために、マスキングルールとして既存のマスキングテンプレートが必要です。ExecDatamask API を呼び出し、マスクするデータ (Data) とマスキングテンプレート ID (TemplateId) を渡し、マスキングテンプレートの Matching mode (Field name または Sensitive type) を適用して Data 内の dataList データをマスクします。

Data Security Center コンソールで、Risk Governance > Data Desensitizationに移動し、Masking Configurations タブでマスキングテンプレート ID を取得します。カスタムマスキングテンプレートもサポートされています。手順については、「マスキングテンプレートの設定」をご参照ください。

ExecDatamask API のマスキングテンプレートメソッド：

マスキング例の図：

制限事項

動的マスキングのために ExecDatamask API を呼び出す際、各リクエストのデータ (Data) は 2 MB 未満である必要があります。

動的マスキング API 呼び出しレコードの表示

1. Data Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Risk Governance > Configuration Risksを選択します。

3. Data Desensitization ページで、Dynamic desensitization タブをクリックします。

4. Dynamic desensitization ページで、ExecDatamask API の呼び出しレコードを表示します。

   説明

   同じアカウントと IP アドレスを使用して API を複数回呼び出した場合、操作ログには 1 つのエントリのみが表示され、Cumulative number of calls が記録されます。