Partilhar via

Column mask cláusula

  • Artigo

Aplica-se a:assinalado sim Databricks SQL assinalado sim Databricks Runtime 12.2 LTS e superior assinalado sim Unity Catalog apenas

Especifica uma função que é aplicada a um column sempre que linhas são buscadas no table. Todas as consultas subsequentes desse column recebem o resultado da avaliação dessa função sobre o column em vez do valor original do column. Isso pode ser útil para fins de controle de acesso refinado where a função pode inspecionar a identidade ou as associações de grupo do usuário que invoca para determinar se o valor deve ser redigido.

Você pode adicionar máscaras de column quando:

Importante

A máscara é aplicada assim que cada linha é buscada na fonte de dados. Quaisquer expressões, predicados ou ordens são aplicadas após a mascaragem. Por exemplo, a junção entre o column mascarado e outro column de um outro table usará o values mascarado para a comparação join.

Para mais informações sobre como usar as máscaras de column, consulte Filtrar dados confidenciais de table usando filtros de linha e máscaras de column.

Sintaxe

MASK func_name [ USING COLUMNS ( other_column_name | constant_literal [, ...] ) ]

Parameters

  • func_name

    Um SQL UDF escalar com pelo menos um parâmetro.

    O primeiro parâmetro do SQL UDF mapeia 1:1 com o columnmascarado. O tipo do columnmascarado deve ser convertível para o tipo de parâmetro SQL UDF. Se func_name exigir mais parameters, os argumentos devem ser fornecidos pela cláusula USING COLUMNS.

    O tipo de retorno da função deve ser passível de conversão para o tipo de dados mascarado de column.

  • other_column_name

    Opcionalmente, especifica columns adicionais do table do columnmascarado para serem passados para func_name. Cada other_column_name um deve ser moldável para o parâmetro correspondente de func_name.

    Use uma máscara de column para anonimizar seletivamente o valor de column_identifier com base no usuário que executa uma consulta contra table_name, o valor de column_identifier e o other_columnopcional .

  • constant_literal

    Especifica um parâmetro constante com o tipo correspondendo a um parâmetro de função. Os seguintes tipos são suportados: STRING, numérico (INTEGER, FLOAT,DOUBLE, DECIMAL ...), BOOLEAN, , INTERVALNULL.

Exemplos

Você pode encontrar mais exemplos em Filtrar dados confidenciais de table usando filtros de linha e máscaras de column.

-- Create a table with a masked column
> CREATE FUNCTION mask_ssn(ssn STRING) RETURN CASE WHEN is_member('HumanResourceDept') THEN ssn ELSE '***-**-****' END;
> CREATE TABLE persons(name STRING, ssn STRING MASK mask_ssn);
> INSERT INTO persons VALUES('James', '123-45-6789';

-- As a non-member of 'HumanResourceDept'
> SELECT * FROM persons;
  James  ***-**-****

-- As a member of 'HumanResourceDept'
> SELECT * FROM persons;
  James  123-45-6789

-- Create a masking function with multiple parameters. When applied first parameter will be the column that masking function applies to
> CREATE FUNCTION mask_pii_regional(value STRING, region STRING)
  RETURN IF(is_account_group_member(region || '_HumanResourceDept'), value, 'REDACTED');

-- Create a table with a masked column. Masking function first parameter will be the column that is masked.
-- The rest of the parameters should be specified in `USING COLUMNS (<columnList>)` clause
> CREATE TABLE persons(name STRING, address STRING MASK mask_pii_regional USING COLUMNS (region), region STRING);
> INSERT INTO persons('James', '160 Spear St, San Francisco', 'US')

-- As a non-member of 'US_HumanResourceDept'
> SELECT * FROM persons;
  James | REDACTED | US

-- As a member of 'US_HumanResourceDept'
> SELECT * FROM persons;
  James | 160 Spear St, San Francisco | US