Data Security Center (DSC) の機能を使用して、ソース OSS バケットに保存されている TXT、CSV、XLSX、XLS などの構造化ファイル内の機密データをマスキングします。マスクされたファイルは、安全なデータ共有を可能にするために、同じアカウント内の送信先 OSS バケットに保存されます。
概要
以下は、マスクされたデータの例を示す表です。
|
生データ |
マスク済みデータ |
||||
|
氏名 |
携帯電話番号 |
ID カード番号 |
氏名 |
携帯電話番号 |
ID カード番号 |
|
田中 太郎 |
13900001234 |
111222190002309000 |
田中** |
139****1234 |
111###########9000 |
|
鈴木 花子 |
13900001111 |
150802202207214000 |
鈴木** |
139****1111 |
150###########4000 |
|
佐藤 次郎 |
13900002222 |
120105195001066000 |
佐藤** |
139****2222 |
120###########6000 |
この結果を得るには、次の 4 つのステップに従います：
-
OSS バケットの作成とファイルのアップロード：ソースバケットと送信先バケットを作成し、機密データを含む表形式ファイルをソースバケットにアップロードします。
-
DSC への OSS バケットのアクセス権限付与：OSS バケットからのデータ読み取りとデータ書き込みの権限を DSC に付与します。
-
データマスキングタスクの作成：ソースファイル内の機密フィールドに対するマスキングアルゴリズムとルールを設定し、マスク済みファイルの保存場所を指定するタスクを作成します。
-
データマスキングタスクの開始：タスクを実行して、ソースバケットに保存されている表形式ファイル内の機密データをマスキングし、マスク済みファイルを送信先バケットに保存します。
前提条件
-
Data Security Center (DSC) インスタンスを購入し、他の Alibaba Cloud サービスにアクセスするために必要な権限を付与済みであること。
データマスキング機能は、DSC の Enterprise Edition でのみ利用可能です。このチュートリアルでは、OSS ファイル内のデータのマスキングに焦点を当てているため、[OSS Data Management] サービスを有効にし、[OSS Protection Capacity] の最小仕様を選択するだけで済みます。[Database Management] と [Value-added Module] サービスは無効にできます。
ステップ 1：OSS バケットの作成とファイルのアップロード
1.1 ソースと送信先の OSS バケットの作成
-
Object Storage Service (OSS) コンソールで、バケットページに移動し、[バケットの作成] をクリックします。
-
[バケットの作成] パネルで、次のパラメーターを設定し、その他はデフォルトのままにして、[作成] をクリックします。このバケットはソースバケットとして使用されます。
[リージョン] で [中国 (杭州)] を選択します。[ストレージクラス] で [標準] を選択します。[データ冗長タイプ] で [ローカル冗長ストレージ (LRS) (推奨)] を選択します。[公開アクセス禁止] は [有効] のままにします。[アクセス制御リスト (ACL)] で [プライベート] を選択します。[リソースグループ] で [デフォルトリソースグループ] を選択します。
-
上記の手順を繰り返し、送信先バケットとして使用する別のバケットを作成します。
1.2 ソース OSS バケットへの表形式ファイルのアップロード
-
OSS コンソールで、バケットページに移動し、ソースバケットの名前をクリックします。
-
Filesページで、[オブジェクトのアップロード] をクリックします。
-
[ファイルの選択] をクリックし、ローカルファイル (このチュートリアルでは、名前、携帯電話番号、ID カード番号などの機密情報を含むサンプルファイル userdata.csv を使用します) を選択し、[オブジェクトのアップロード] をクリックします。アップロードが完了するまで待ちます。
ステップ 2：DSC への OSS バケットのアクセス権限付与
-
Data Security Center (DSC) コンソールにログインします。
-
左側のナビゲーションウィンドウで、Asset Centerを選択します。
-
Asset Centerページで、左側の Unstructured Dataセクションで OSS をクリックし、次に Asset Authorization Managementをクリックします。
-
Asset Authorization Managementページで、Asset synchronizationをクリックします。
-
資産の同期が完了したら、新規作成された OSS バケットを見つけ、AuthorizationをActions列でクリックします。
ステップ 3：データマスキングタスクの作成
DSC コンソールで、データマスキングページに移動し、Add Desensitization Taskをクリックします。画面の指示に従ってタスクを設定します。
3.1 マスキング対象のソースファイルの設定
タスク名を入力し、マスキングソースとして、ソース OSS バケット内の機密ファイル userdata.csv を設定します。csv ファイルの場合、列の区切り文字としてカンマを指定する必要があります。このチュートリアルのサンプルファイルにはヘッダー行が含まれています。
3.2 機密フィールドのマスキングルールの設定
Data Masking Algorithmタブには、userdata.csv のヘッダー行のフィールドが自動的に表示されます。このチュートリアルでは、名前、携帯電話番号、ID カード番号のフィールドに Maskingを適用する方法を説明します。
-
各フィールドのデータマスキングスイッチを有効にし、Maskingを選択します。
名前フィールドでは、マスキング > 先頭 n 文字と末尾 m 文字を保持を選択します。携帯電話番号フィールドでは、マスキング > x 文字目から y 文字目までをマスキングを選択します。ID カード番号フィールドでは、マスキング > 先頭 n 文字と末尾 m 文字を保持を選択します。
-
Maskingの View and Modify Parametersをクリックし、アルゴリズムルールを設定してから Saveをクリックします。このチュートリアルでは、次のマスキングルールを使用します：
-
名前：先頭の 1 文字を保持し、残りをアスタリスク (
*) でマスクします。 -
携帯電話番号：4 文字目から 7 文字目までをアスタリスク (
*) でマスクします。 -
ID カード番号：先頭 3 文字と末尾 4 文字を保持し、間を番号記号 (
#) でマスクします。
-
3.3 マスク済みファイルの場所の設定
OSS データソースではウォーターマークはサポートされていません。マスク済みファイルを保存する送信先バケットを直接設定します。このチュートリアルでは、ファイルは結果セットとして保存されます。ファイル名はカスタマイズできますが、ファイルタイプは csv、xls、または txt である必要があります。
3.4 タスクトリガーの設定
OSS ファイルのマスキングタスクには、How the task is triggered (Required) の設定のみが適用されます。
-
How the task is triggered (Required) を Manual Onlyに設定します。
-
Submitをクリックします。
ステップ 4：データマスキングタスクの開始
4.1 タスクの実行
-
Static Desensitizationページの Task Configurationsタブで、新しく作成したデータマスキングタスクを見つけ、Actions列の Startをクリックします。
-
Static Desensitizationページで、Statusサブタブをクリックします。タスクの進捗が 100% に達し、ステータスが Successfulに変わるまで待ちます。
4.2 結果の確認
-
OSS コンソールの バケットページに移動し、送信先バケットの名前をクリックして、ファイルリストからマスク済みファイルを見つけます。ファイル名は
<DestinationFilename>_<TaskExecutionTime>.<FileType>の形式です。たとえば、usernews_20240808150643.csvの場合、20240808150643はタスクが 2024 年 8 月 8 日 15:06:43 に実行されたことを示します。[ダウンロード] をクリックしてファイルを取得できます。 -
ダウンロードが完了したら、ファイルを開いて、名前、携帯電話番号、ID カード番号のデータがマスクされていることを確認します。
データは次のようにマスクされます：名前は先頭の 1 文字のみを保持し (例：「田**」)、携帯電話番号は中央の 4 桁が非表示になり (例：「139****1234」)、ID カード番号の中央の数字は番号記号に置き換えられます (例：「111###########9000」)。
まとめ
OSS バケットに保存されている元データをマスキングし、安全な共有のために送信先バケットに保存できます。データマスキング後、機密コンテンツが直接公開されることがなくなり、共有データが漏洩した場合でも、データの不正利用やプライバシー侵害のリスクが軽減されます。マスクされたデータは、個人のプライバシーを損なうことなく、データ分析、モデルトレーニング、ビジネスレポートの共有などのシナリオで使用できます。
柔軟なマスキングアルゴリズム
データマスキングは、アルゴリズムとそのルールに依存します。DSC は、ハッシュ化、マスキング、置換、変換、暗号化、復号、シャッフリングなど、さまざまなマスキングアルゴリズムをサポートしています。各アルゴリズムは複数の設定オプションを提供するため、ビジネスシナリオに最も適したものを選択できます。
[データマスキング] ページで、[マスキング設定] > [マスキングアルゴリズム] タブを選択して、各アルゴリズムの説明を表示し、設定します。たとえば、ハッシュ化の場合、DSC は MD5、SHA1、SHA256、HMAC の 4 つのルールをサポートしています。ソルト値を入力し、[テスト] をクリックしてマスキング効果を確認した後、[送信] をクリックして設定を保存できます。
効率的なルール設定
DSC はマスキングテンプレートもサポートしています。効率を向上させるために、頻繁に使用するマスキングアルゴリズムをテンプレートにグループ化し、データマスキングルールを設定する際に適用できます。
詳細については、「マスキングテンプレートとアルゴリズムの設定」をご参照ください。
データマスキングタスクのスケジューリング
このチュートリアルのタスクは手動で実行されますが、データマスキングタスクは、毎時、毎日、毎週、毎月など、特定の時間に実行するようにスケジュールすることもできます。これにより、更新されたデータが迅速にマスキングされ、使用できる状態になります。
[タスクのトリガー方法] セクションでは、[手動のみ]、[スケジュールのみ]、または [手動 + スケジュール] を選択できます。スケジュールオプションを選択した場合は、[タスクスケジュール設定] セクションでトリガー頻度を設定できます：[毎時] の場合は分を、[毎日] と [毎週] の場合は特定の時間と曜日を、[毎月] の場合は日付と時間を設定します。