Condividi tramite

Clausola Column mask

  • Articolo

Si applica a: segno di spunta sì Solo Databricks SQL segno di spunta sì Databricks Runtime 12.2 LTS e versioni successive segno di spunta sì al catalogo Unity

Specifica una funzione applicata a una colonna ogni volta che vengono recuperate righe dalla tabella. Tutte le query successive da tale colonna ricevono il risultato della valutazione della funzione sulla colonna al posto del valore originale della colonna. Ciò può essere utile per scopi di controllo di accesso con granularità fine, in cui la funzione può esaminare l'identità o le appartenenze a gruppi dell'utente che richiama per decidere se revisionare il valore.

È possibile aggiungere le column mask quando:

Importante

Il mascheramento viene applicato non appena ogni riga viene recuperata dall'origine dati. Tutte le espressioni, i predicati o l'ordinamento vengono applicati dopo il mascheramento. Ad esempio, l'unione tra la colonna mascherata e un'altra colonna di un'altra tabella userà i valori mascherati per il confronto del congiungimento.

Per altre informazioni su come usare le column mask, vedere Filtrare i dati delle tabelle sensibili usando filtri di riga e mascheramenti di colonne.

Sintassi

MASK func_name [ USING COLUMNS ( other_column_name | constant_literal [, ...] ) ]

Parametri

  • func_name

    Una UDF scalare di SQL con almeno un parametro.

    Il primo parametro della UDF SQL esegue il mapping 1:1 con la colonna mascherata. Il tipo della colonna mascherata deve essere convertibile al tipo di parametro della UDF SQL. Se func_name richiede più parametri, gli argomenti devono essere forniti dalla clausola USING COLUMNS.

    Il tipo restituito della funzione deve essere convertibile al tipo di dati della colonna mascherata.

  • other_column_name

    Facoltativamente, specifica che colonne aggiuntive della tabella della colonna mascherata passino a func_name. Ogni other_column_name deve essere assegnabile al parametro corrispondente di func_name.

    Usare un mascheramento di colonna per rendere anonimo in modo selettivo il valore di column_identifier in base all'utente che esegue una query su table_name, il valore di column_identifier e l'oggetto facoltativo other_column.

  • constant_literal

    Specifica un parametro costante con il tipo corrispondente a un parametro di funzione. Sono supportati i seguenti tipi: STRING, numerico (INTEGER, FLOAT, DOUBLE, DECIMAL ...) , BOOLEAN, INTERVAL, NULL.

Esempi

Per altri esempi, vedere Filtrare i dati delle tabelle sensibili usando filtri di riga e mascheramenti di colonna.

-- Create a table with a masked column
> CREATE FUNCTION mask_ssn(ssn STRING) RETURN CASE WHEN is_member('HumanResourceDept') THEN ssn ELSE '***-**-****' END;
> CREATE TABLE persons(name STRING, ssn STRING MASK mask_ssn);
> INSERT INTO persons VALUES('James', '123-45-6789';

-- As a non-member of 'HumanResourceDept'
> SELECT * FROM persons;
  James  ***-**-****

-- As a member of 'HumanResourceDept'
> SELECT * FROM persons;
  James  123-45-6789

-- Create a masking function with multiple parameters. When applied first parameter will be the column that masking function applies to
> CREATE FUNCTION mask_pii_regional(value STRING, region STRING)
  RETURN IF(is_account_group_member(region || '_HumanResourceDept'), value, 'REDACTED');

-- Create a table with a masked column. Masking function first parameter will be the column that is masked.
-- The rest of the parameters should be specified in `USING COLUMNS (<columnList>)` clause
> CREATE TABLE persons(name STRING, address STRING MASK mask_pii_regional USING COLUMNS (region), region STRING);
> INSERT INTO persons('James', '160 Spear St, San Francisco', 'US')

-- As a non-member of 'US_HumanResourceDept'
> SELECT * FROM persons;
  James | REDACTED | US

-- As a member of 'US_HumanResourceDept'
> SELECT * FROM persons;
  James | 160 Spear St, San Francisco | US