Hologres:データマスキング

• マスキングルールを持つテーブルや列から、マスキングルールを持たないテーブルや列にデータをインポートすることはできません。次のエラーメッセージが報告されます。

  Error: ERROR: The insert table has not set SECURITY LABEL

• データマスキングルールが構成されているテーブルに対して UNION または DISTINCT クエリを実行することはできません。次のエラーメッセージが報告されます。

  Error: ERROR: UNION is not support on security item

• データマスキングはクエリのパフォーマンスに影響を与える可能性があります。影響の度合いは、マスキングメソッドとデータ量によって異なります。クエリのパフォーマンスは 10% から 20% 低下する可能性があります。極端なシナリオでは、パフォーマンスが大幅に低下する可能性があります。

• 外部テーブルにマスキングルールを構成することはできません。

マスキングルールの構成

Hologres では、特定の列またはユーザーに対してデータマスキングルールを構成できます。データマスキングを実行する前に、データマスキング用の GUC パラメーターを有効にする必要があります。詳細については、「準備」をご参照ください。

• 構文

  • 列のマスキングルールを構成します。

    複数の列のデータをマスキングするには、次の文を複数回実行します。

    SECURITY LABEL FOR hg_anon ON COLUMN <tablename>.<col_name> IS <label_name>/'default_value';

  • ユーザーのマスキングルールを構成します。

     SECURITY LABEL FOR hg_anon ON ROLE <user_name> IS '[<label_name>|all]:[masked|unmasked]';

• パラメーター

  パラメーター	説明
  hg_anon	hg_anon は Hologres にカプセル化された拡張関数です。データマスキング機能を有効にするには、この拡張関数を呼び出す必要があります。
  tablename	データをマスキングする列を含むテーブルの名前。
  col_name	データをマスキングする列の名前。
  label_name	システムで事前定義されたマスキング関数。SHOW hg_anon_labels; を実行して、現在のデータベースに構成されている label_name の値を確認できます。
  user_name	Alibaba Cloud アカウントの ID。[ユーザー情報] ページで ID を取得できます。
  masked|unmasked	masked: データマスキングを使用します。 unmasked: データマスキングを使用しません。

  次の表に、事前定義された label_name の値を示します。

  データの型	label_name	マスキングポリシー	マスキングタイプ	説明	例
  TEXT	name	name	mask	名前をマスキングします。	マスキング前: Li Hua。マスキング後: *Hua。 マスキング前: Wang Xiaoqiang。マスキング後: **qiang。
  	email	email	mask	メールアドレスをマスキングします。	マスキング前: lihuang@alibaba.com。マスキング後: lih***@alibaba.com。
  	ip	ip	mask	IP アドレスをマスキングします。	マスキング前: 1.2.3.4。マスキング後: 1.*.*.*。
  	id	id	mask	ID カード番号をマスキングします。	マスキング前: 110345188812011234。マスキング後: 1****************4。
  	phone	phone	mask	電話番号をマスキングします。	マスキング前: 13900001234。マスキング後: *********34。
  	bank_id	bank_id	mask	銀行またはクレジットカード番号をマスキングします。	マスキング前: 2349867902834701928。マスキング後: ***************1928。
  	hash	md5	hash	MD5 アルゴリズムを使用してマスキングします。	マスキング前: Wenyi West Road, Hangzhou, Zhejiang。マスキング後: dbf894b409d4a2ef17dfd9c7fdcafcd8。
  	first_mask	first_mask	mask	最初の文字のみを表示する first_mask ルールを定義します。	マスキング前: 123456789。マスキング後: 1********。
  INT、FLOAT、およびその他の型	デフォルト	default_value	default_value	デフォルト値に基づいてデータをマスキングします。 説明 データマスキングを構成する際に label_name が存在しない場合、システムはデフォルト値のマスキングを使用します。 この設定は Hologres V3.1 以降でのみサポートされています。	次のリストは、データ型とデフォルトのマスキング値のマッピングを示しています: TEXT/VARCHAR/CHAR: *** BOOLEAN: false INT8/INT4/INT2: 0 TIMESTAMPTZ/TIMESTAMP: 2000-01-01 00:00:00 FLOAT8/FLOAT4/DECIMAL/NUMERIC: 0.0 MONEY: 0 DATE: 2000-01-01 TIME/TIMETZ: 現在の時刻 UUID: 00000000-0000-0000-0000-000000000000

構成されたマスキングルールの表示

• 列に構成されているマスキングルールを表示します。

  -- 列に構成されているマスキングルールを表示します。
  SELECT 
  	c.relname
    ,a.attname
    ,provider
    ,label
  FROM pg_seclabel s 
  INNER JOIN pg_catalog.pg_class c ON s.objoid = c.relfilenode 
  INNER JOIN pg_catalog.pg_attribute a ON s.objoid = a.attrelid 
  WHERE a.attnum = objsubid;

• ユーザーに構成されているマスキングルールを表示します。

  -- ユーザーに構成されているマスキングルールを表示します。
  SELECT
      usename,
      label
  FROM
      pg_shseclabel s
      INNER JOIN pg_catalog.pg_user u ON s.objoid = u.usesysid;

カスタムマスキングルールの変更

構成されたマスキングルールが要件を満たさない場合、hg_anon_lables GUC パラメーターを変更してマスキングルールをカスタマイズできます。

• 構文

  -- label_name はカスタム名で、method は Hologres の組み込みメソッドを指定します。
  ALTER DATABASE <db_name> SET hg_anon_labels = '[   
  {"label": <label_name1>, "method":<method1>},  
  {"label": <label_name2>, "method":<method2>}, 
  ...  ]'; 

  ALTER DATABASE コマンドを実行した後、新しい設定は現在の接続には適用されません。新しい接続を確立する必要があります。次のコマンドを実行して、新しい設定が有効になったかどうかを確認できます。

  SHOW hg_anon_enable;

• 例

  ALTER DATABASE test_db SET hg_anon_labels = '[
  {"label":"ip", "method":{"desensType":"mask", "type":"ip"}},
  {"label":"email", "method":{"desensType":"mask", "type":"email"}},
  {"label":"name", "method":{"desensType":"mask", "type":"name"}},
  {"label":"first_mask", "method":{"desensType":"mask", "type":"user_define", "before":1, "after":0}},
  {"label":"hash", "method":{"desensType":"hash", "type":"md5", "salt":""}}]';

  パラメーター:

  マスキング項目	説明	データマスキングの例
  {"desensType":"mask", "type":"ip"}	IP アドレスをマスキングします。	192.*.*.*
  {"desensType":"mask", "type":"email"}	メールアドレスをマスキングします。	abc***@example.net
  {"desensType":"mask", "type":"name"}	名前をマスキングします。	*Wu
  {"desensType":"hash", "type":"md5", "salt":""}	ハッシュマスキング。	e086aa137fa19f67d27b39d0eca186103228f322c9c98a125554a24f875f0f7e
  {"label":"first_mask", "method":{"desensType":"mask", "type":"user_define", "before":1, "after":0}}{"label":"last_mask", "method":{"desensType":"mask", "type":"user_define", "before":0, "after":1}}	カスタムコンテンツマスキング。	なし

サンプルデータ

データソースを準備します。ビジネスデータを使用することもできます。

-- データベースを作成します。
CREATE DATABASE hg_anon_demo;
-- サンプルデータテーブルを作成します。
DROP TABLE IF EXISTS personal_basic_information;
CREATE TABLE personal_basic_information  
(
    name TEXT
    ,email TEXT
    ,ip TEXT
    ,id TEXT 
    ,phone TEXT
    ,bank_id TEXT);
-- サンプルデータを挿入します。
INSERT INTO personal_basic_information(name,email,ip,id,phone,bank_id) VALUES 
('Zhang San','jiaxi.jx@alibaba-inc.com','127.0.0.1','142732199104050022','18157161223','4514610803067088'),
('Li Si','wb-hy583084@antgroup.com','127.0.0.1','510622198412248000','15757121834','6252470010027800'),
('Li Xiaoyao','wb-hy583084@antgroup.com','172.21.4.234','511025198812271696','18215451832','6252470010027800');

列のマスキングルールを構成する

-- hg_anon 拡張機能を作成します。
CREATE EXTENSION IF NOT EXISTS hg_anon;

-- hg_anon_demo データベースのデータマスキングを有効にします。
ALTER DATABASE hg_anon_demo SET hg_anon_enable = on;

-- 各列にデータマスキングルールを構成します。
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.name IS 'name';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.id IS 'id';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.phone IS 'phone';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.email IS 'email';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.bank_id IS 'bank_id';
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.ip IS 'ip';

新しい接続を確立した後、次のコマンドを実行してマスキング結果を表示します。

SELECT * FROM personal_basic_information;

次の結果が返されます。

name |         email          |      ip      |         id         |    phone    |     bank_id      
------+------------------------+--------------+--------------------+-------------+------------------
 *Si  | wb-***@antgroup.com    | 127.*.*.*    | 5****************0 | *********34 | ************7800
 **yao | wb-***@antgroup.com    | 172.**.*.*** | 5****************6 | *********32 | ************7800
 *San  | jia***@alibaba-inc.com | 127.*.*.*    | 1****************2 | *********23 | ************7088
(3 rows)

列のマスキングをキャンセルする

SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.name IS null;
SECURITY LABEL FOR hg_anon ON COLUMN personal_basic_information.id IS null;

次のコマンドを実行して、列のマスキングをキャンセルした後の結果を表示します。

SELECT name,id FROM personal_basic_information;

次の結果が返されます。

SELECT name,id FROM personal_basic_information;
  name  |         id         
--------+--------------------
 Li Si   | 510622198412248000
 Li Xiaoyao | 511025198812271696
 Zhang San   | 142732199104050022
(3 rows)

ユーザーのマスキングルールをキャンセルする

-- BASIC$test アカウントのすべてのマスキングルールをキャンセルします。
SECURITY LABEL FOR hg_anon ON ROLE "BASIC$test" IS 'all:unmasked';

次のコマンドを実行して、ユーザーのマスキングルールをキャンセルした後の結果を表示します。

SELECT * FROM personal_basic_information;

次の結果が返されます。

  name  |          email           |      ip      |         id         |    phone    |     bank_id      
--------+--------------------------+--------------+--------------------+-------------+------------------
 Li Si   | wb-hy583084@antgroup.com | 127.0.0.1    | 510622198412248000 | 15757121834 | 6252470010027800
 Li Xiaoyao | wb-hy583084@antgroup.com | 172.21.4.234 | 511025198812271696 | 18215451832 | 6252470010027800
 Zhang San   | jiaxi.jx@alibaba-inc.com | 127.0.0.1    | 142732199104050022 | 18157161223 | 4514610803067088
(3 rows)

JOIN 列のマスキングを設定する

-- 次の例は、JOIN 列のマスキングを構成する方法を示しています。
CREATE TABLE tbl1 (
    id text
);
INSERT INTO tbl1
    VALUES ('142732199102290022');

-- personal_basic_information テーブルの id 列はすでにマスキングされています。
SELECT * FROM personal_basic_information a JOIN tbl1 b ON a.id = b.id;

次の結果が返されます。

name | email | ip | id | phone | bank_id | id 
------+-------+----+----+-------+---------+----
(0 rows)