Hologres:データマスキング

• マスキングルールが設定されたテーブルから、マスキングルールが定義されていないテーブルにデータをインポートすることはできません。次のエラーが返されます：

  ERROR: The insert table has not set SECURITY LABEL

• マスキングルールが設定されたテーブルに対して UNION または DISTINCT クエリを実行することはできません。次のエラーが返されます：

  ERROR: UNION is not support on security item

• データマスキングはクエリパフォーマンスに影響を与える可能性があります。影響はマスキングメソッドとデータ量によって異なります。パフォーマンスが 10% から 20% 低下する可能性があり、極端な場合にはさらに大幅に低下することがあります。

• 外部テーブルにマスキングルールを設定することはできません。

マスキングルールの設定

Hologres では、特定の列またはユーザーに対してデータマスキングルールを設定できます。マスキングルールを設定する前に、データマスキングの GUC パラメーターを有効にする必要があります。詳細については、「前提条件」をご参照ください。

• 構文

  • 列にマスキングポリシーを設定する

    複数の列のデータをマスキングするには、列ごとにこの文を実行する必要があります。

    SECURITY LABEL FOR hg_anon ON COLUMN <tablename>.<col_name> IS <label_name>/'default_value';

  • ユーザーにマスキングポリシーを設定する

     SECURITY LABEL FOR hg_anon ON ROLE <user_name> IS '[<label_name>|all]:[masked|unmasked]';

• パラメーター

  パラメーター	説明
  hg_anon	hg_anon 拡張はデータマスキング機能を提供します。SECURITY LABEL 文でプロバイダーとして hg_anon を指定する必要があります。
  tablename	マスキングする列を含むテーブルの名前。
  col_name	マスキングする列の名前。
  label_name	システムに事前定義された匿名化関数については、SHOW hg_anon_labels; を使用して、現在のデータベースで設定されている label_name を表示できます。
  user_name	アカウント ID。これは [セキュリティ設定] ページで確認できます。
  masked|unmasked	masked：データマスキングを使用します。 unmasked：データマスキングを使用しません。

  次の表は、事前定義された label_name の値について説明しています。

  データの型	label_name	マスキングポリシー	マスキングタイプ	説明	例
  TEXT	name	name	mask	名前をマスキングします。	マスキング前：Li Hua、マスキング後：* Hua。 マスキング前：Wang Xiaoqiang、マスキング後：** Qiang。
  	email	email	mask	メールアドレスをマスキングします。	マスキング前：lihuang@alibaba.com、マスキング後：lih***@alibaba.com。
  	ip	ip	mask	IP アドレスをマスキングします。	マスキング前：1.2.3.4、マスキング後：1.*.*.*。
  	id	id	mask	ID カード番号をマスキングします。	マスキング前：110345188812011234、マスキング後：1****************4。
  	phone	phone	mask	電話番号をマスキングします。	マスキング前：13900001234、マスキング後：*******1234。
  	bank_id	bank_id	mask	銀行カードまたはクレジットカードの番号をマスキングします。	マスキング前：2349867902834701928、マスキング後：***************1928。
  	hash	md5	hash	MD5 アルゴリズムを使用してデータをマスキングします。	マスキング前：Wenyi West Road, Hangzhou, Zhejiang、マスキング後：dbf894b409d4a2ef17dfd9c7fdcafcd8。
  	first_mask	first_mask	mask	first_mask ルールは最初の文字のみを表示します。	マスキング前：123456789、マスキング後：1********。
  INT、FLOAT、およびその他の数値型	デフォルト	default_value	default_value	データをデフォルト値でマスキングします。 説明 データマスキングを設定する際に指定した label_name が存在しない場合、システムはフォールバックとしてデフォルト値マスキングを使用します。 Hologres V3.1 以降でのみサポートされています。	データ型とデフォルトのマスキング値のマッピング： TEXT/VARCHAR/CHAR：*** BOOLEAN：false INT8/INT4/INT2：0 TIMESTAMPTZ/TIMESTAMP：2000-01-01 00:00:00 FLOAT8/FLOAT4/DECIMAL/NUMERIC：0.0 MONEY：0 DATE：2000-01-01 TIME/TIMETZ：現在の時刻 UUID：00000000-0000-0000-0000-000000000000

マスキングルールの表示

• 列に設定されたマスキングルールを表示するには：

  --列に設定されたマスキングルールを表示
  SELECT c.relname, a.attname, provider, label
  FROM pg_seclabel s
  JOIN pg_class c ON s.objoid = c.oid
  JOIN pg_attribute a ON s.objoid = a.attrelid AND s.objsubid = a.attnum;

• ユーザーに設定されたマスキングルールを表示するには：

  --ユーザーに設定されたマスキングルールを表示
  SELECT
      usename,
      label
  FROM
      pg_shseclabel s
      INNER JOIN pg_catalog.pg_user u ON s.objoid = u.usesysid;

マスキングルールのカスタマイズ

既存のデータマスキングルールが要件を満たさない場合は、hg_anon_lables GUC パラメーターを変更してカスタムルールを作成できます。

• 構文

  -- label_name はカスタム名で、method は Hologres の組み込み関数を指定します。
  ALTER DATABASE <db_name> SET hg_anon_labels = '[   
  {"label": <label_name1>, "method":<method1>},  
  {"label": <label_name2>, "method":<method2>}, 
  ...  ]'; 

  ALTER DATABASE コマンドを実行すると、現在の接続は無効になります。新しい接続を確立する必要があります。次のコマンドを使用して、設定が有効になったかどうかを確認できます。

  SHOW hg_anon_enable;

• 例

  ALTER DATABASE test_db SET hg_anon_labels = '[
  {"label":"ip", "method":{"desensType":"mask", "type":"ip"}},
  {"label":"email", "method":{"desensType":"mask", "type":"email"}},
  {"label":"name", "method":{"desensType":"mask", "type":"name"}},
  {"label":"first_mask", "method":{"desensType":"mask", "type":"user_define", "before":1, "after":0}},
  {"label":"hash", "method":{"desensType":"hash", "type":"md5", "salt":""}}]';

  パラメーター：

  項目	説明	実行結果の例
  {"desensType":"mask", "type":"ip"}	IP アドレスをマスキングします。	192.*.*.*
  {"desensType":"mask", "type":"email"}	メールアドレスをマスキングします。	abc***@example.net
  {"desensType":"mask", "type":"name"}	名前をマスキングします。	*Wu
  {"desensType":"hash", "type":"md5", "salt":""}	ハッシュ関数を使用してデータをマスキングします。	e086aa137fa19f67d27b39d0eca186103228f322c9c98a125554a24f875f0f7e
  {"label":"first_mask", "method":{"desensType":"mask", "type":"user_define", "before":1, "after":0}}{"label":"last_mask", "method":{"desensType":"mask", "type":"user_define", "before":0, "after":1}}	文字列の先頭または末尾に指定された数の文字を保持するなど、カスタムのマスキングパターンを許可します。	N/A

サンプルデータ

データソースを準備します。独自のビジネスデータを使用することもできます。

--データベースを作成します。
CREATE DATABASE hg_anon_demo;
--サンプルデータテーブルを作成します。
DROP TABLE IF EXISTS personal_basic_information;
CREATE TABLE personal_basic_information  
(
    name TEXT
    ,email TEXT
    ,ip TEXT
    ,id TEXT 
    ,phone TEXT
    ,bank_id TEXT);
--サンプルデータを挿入します。
INSERT INTO personal_basic_information(name,email,ip,id,phone,bank_id) VALUES 
('Zhang San','jiaxi***@alibaba-inc.com','127.0.0.1','142732199104050022','18157161223','4514610803067088'),
('Li Si','wb-hy583***@antgroup.com','127.0.0.1','510622198412248000','15757121834','6252470010027800'),
('Li Xiaoyao','wb-hy583***@antgroup.com','172.21.4.234','511025198812271696','18215451832','6252470010027800');

列マスキングルールの設定

--hg_anon 拡張を作成します。
CREATE EXTENSION IF NOT EXISTS hg_anon;
--hg_anon_demo データベースのデータマスキングを有効にします。
ALTER DATABASE hg_anon_demo SET hg_anon_enable = on;
--各列のマスキングルールを設定します。
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.name IS 'name';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.id IS 'id';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.phone IS 'phone';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.email IS 'email';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.bank_id IS 'bank_id';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.ip IS 'ip';

新しい接続で、次のコマンドを実行してマスキングされた結果を表示します。

SELECT * FROM personal_basic_information;

次の結果が返されます：

 name  |         email          |      ip      |         id         |    phone    |     bank_id      
-------+------------------------+--------------+--------------------+-------------+------------------
 * Si  | wb-***@antgroup.com    | 127.*.*.*    | 5****************0 | *********34 | ************7800
 ** Yao| wb-***@antgroup.com    | 172.**.*.*** | 5****************6 | *********32 | ************7800
 * San | jia***@alibaba-inc.com | 127.*.*.*    | 1****************2 | *********23 | ************7088
(3 rows)

列マスキングの削除

SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.name IS null;
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.id IS null;

次のコマンドを実行して、列のマスキングルールを削除した後の結果を表示します。

SELECT name,id FROM personal_basic_information;

次の結果が返されます：

SELECT name,id FROM personal_basic_information;
  name  |         id         
--------+--------------------
 Li Si   | 510622198412248000
 Li Xiaoyao | 511025198812271696
 Zhang San   | 142732199104050022
(3 rows)

ユーザーマスキングの削除

--ユーザー 'BASIC$test' のすべてのマスキングルールをキャンセルします。
SECURITY LABEL FOR hg_anon ON ROLE "BASIC$test" IS 'all:unmasked';

次のコマンドを実行して、ユーザーのマスキングルールを削除した後の結果を表示します。

SELECT * FROM personal_basic_information;

次の結果が返されます：

  name  |          email           |      ip      |         id         |    phone    |     bank_id      
--------+--------------------------+--------------+--------------------+-------------+------------------
 Li Si   | wb-hy583***@antgroup.com | 127.0.0.1    | 510622198412248000 | 15757121834 | 6252470010027800
 Li Xiaoyao | wb-hy583***@antgroup.com | 172.21.4.234 | 511025198812271696 | 18215451832 | 6252470010027800
 Zhang San   | jiaxi***@alibaba-inc.com | 127.0.0.1    | 142732199104050022 | 18157161223 | 4514610803067088
(3 rows)

JOIN 列へのマスキング設定

--JOIN 列にマスキングを設定する例
CREATE TABLE tbl1 (
    id text
);
INSERT INTO tbl1
    VALUES ('142732199102290022');
--personal_basic_information テーブルの id 列はすでにマスキングされています。
SELECT * FROM personal_basic_information a JOIN tbl1 b ON a.id = b.id;

次の結果が返されます：

name | email | ip | id | phone | bank_id | id 
------+-------+----+----+-------+---------+----
(0 rows)