ダイナミックデータマスキング（Dynamic Data Masking）により、基盤となるデータを変更せずに、データベースアカウントごとに機密カラム値の表示可否を制御できます。本ドキュメントでは、PolarDB コンソールでデータマスキングルールを作成、有効化、無効化、変更、および削除する手順について説明します。
前提条件
開始する前に、以下の条件を満たしていることを確認してください。
PolarDB プロキシのバージョン 2.4.12 以降が必要です。プロキシのバージョンを確認およびアップグレードする方法については、「マイナーバージョンの更新」をご参照ください。
制限事項
| 制限事項 | 詳細 |
|---|---|
| エンドポイントの範囲 | 動的データマスキングは、デフォルトのクラスターエンドポイントおよびカスタマイズされたクラスターエンドポイントを含むクラスターエンドポイントにのみ適用されます。プライマリエンドポイントを経由したクエリはマスクされません。クラスターエンドポイントの表示または申請については、「エンドポイントとポート番号の表示」をご参照ください。 |
| 1 行あたりのサイズ制限 | クエリ結果にマスクされたデータが含まれ、かつ結果の 1 行が 16 MB を超える場合、そのクエリセッションは終了します。たとえば、name カラムに対してマスキングルールが設定されている Person テーブルにおいて、description カラムの行サイズが 16 MB を超える場合、SELECT name, description FROM person を実行するとセッションが終了します。 |
| 関数のパラメーター | マスク対象カラムが関数の引数として使用される場合、マスキングは適用されません。たとえば、name カラムに対してマスキングルールが設定されている場合、SELECT CONCAT(name, '') FROM person は実際の値を返します。 |
| UNION 演算子 | マスク対象カラムが UNION クエリに含まれる場合、マスキングは適用されません。たとえば、name カラムに対してマスキングルールが設定されている場合、SELECT hobby FROM person UNION SELECT name FROM person は実際の値を返します。 |
データマスキングルールの作成
PolarDB コンソールにログインします。
画面左上隅から、ご利用のクラスターが展開されているリージョンを選択します。
該当のクラスターを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、設定項目と管理 ＞ セキュリティ を選択します。
ダイナミックデータマスキング／暗号化 タブで、左上隅の 追加 をクリックします。
ルールの作成 ダイアログボックスで、以下のパラメーターを設定します。
パラメーター 必須 説明 ルール名 はい マスキングルールの名称。最大長：30 文字。 説明 いいえ ルールの説明。最大長：64 文字。 有効／無効 該当なし ルールがアクティブかどうかを示します。新規ルール作成時には、スイッチがデフォルトでオンになります。 エンドポイント はい このルールを適用するクラスターエンドポイント。 データベースアカウント名 いいえ このルールを適用するデータベースアカウント。選択肢：「すべてのアカウント」（テキストボックスを空欄のままにする）、「含める」（アカウントを指定）、または「除外」（指定したアカウントを除外）。複数のアカウント名はカンマ（,）で区切ります。アカウント名は以下の形式をサポートします： user、user@10.1.1.1、user@10.1.1.%、user@%.1.1.1、user@1.%.1、またはuser@10.1.1.0/255.255.255.0。データベース名 いいえ このルールを適用するデータベース。選択肢：「すべてのデータベース」（テキストボックスを空欄のままにする）または「含める」（データベースを指定）。複数のデータベース名はカンマ（,）で区切ります。 テーブル名 いいえ このルールを適用するテーブル。選択肢：「すべてのテーブル」（テキストボックスを空欄のままにする）または「含める」（テーブルを指定）。複数のテーブル名はカンマ（,）で区切ります。 カラム名 はい マスク対象のカラム。複数のカラム名はカンマ（,）で区切ります。 OK をクリックします。
データマスキングルールの有効化／無効化
PolarDB コンソールにログインします。
画面左上隅から、ご利用のクラスターが展開されているリージョンを選択します。
該当のクラスターを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、設定項目と管理 ＞ セキュリティ を選択します。
ダイナミックデータマスキング／暗号化 タブで、対象のルールを見つけ、有効／無効 スイッチをオンまたはオフに切り替えます。
複数のルールを一度に有効化または無効化するには、リストから該当ルールを選択し、リスト下部の 有効化 または 無効化 をクリックします。無効化されたルールは削除されず、いつでも再び有効化できます。
表示されたメッセージで、OK をクリックします。
データマスキングルールの変更
PolarDB コンソールにログインします。
画面左上隅から、ご利用のクラスターが展開されているリージョンを選択します。
該当のクラスターを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、設定項目と管理 ＞ セキュリティ を選択します。
ダイナミックデータマスキング／暗号化 タブで、対象のルールを見つけ、変更 をクリックします（操作 列内）。
説明 および 設定内容 セクション内のすべてのパラメーターを変更できます。ルール名 はルール作成後に変更できません。各パラメーターの詳細については、「データマスキングルールのパラメーター設定」をご参照ください。
パラメーターを更新後、OK をクリックします。
データマスキングルールの削除
PolarDB コンソールにログインします。
画面左上隅から、ご利用のクラスターが展開されているリージョンを選択します。
該当のクラスターを見つけ、その ID をクリックします。
左側のナビゲーションウィンドウで、設定項目と管理 ＞ セキュリティ を選択します。
ダイナミックデータマスキング／暗号化 タブで、対象のルールを見つけ、削除 をクリックします（操作 列内）。
複数のルールを一度に削除するには、リストから該当ルールを選択し、リスト下部の 削除 をクリックします。
表示されたメッセージで、OK をクリックします。
API リファレンス
| 操作 | 説明 |
|---|---|
| DescribeMaskingRules | PolarDB クラスターに対するデータマスキングルールの一覧、または指定したルールの詳細を照会します。 |
| ModifyMaskingRules | データマスキングルールを変更または追加します。 |
| DeleteMaskingRules | データマスキングルールを削除します。 |