高级列级安全主题¶

使用 CURRENT_ROLE 和 IS_ROLE_IN_SESSION¶

使用 CURRENT_ROLE 的掩码策略条件以当前会话为目标，不受 SQL 语句的执行上下文影响。

如果策略条件需要角色激活和角色层次结构，请使用 IS_ROLE_IN_SESSION。

请考虑以下掩码策略正文：

CREATE OR REPLACE MASKING POLICY mask_string AS
(val string) RETURNS string ->
CASE
  WHEN CURRENT_ROLE() IN ('ANALYST') THEN val
  ELSE '********'
END;

Copy

要确定给定用户是否获得授权查看设置了此掩码策略的列中的数据，请完成以下步骤：

1. 评估掩码策略条件。

2. 确定指定的角色是否在 CURRENT_ROLE 层次结构中。

3. 运行测试查询进行验证。

USE ROLE analyst;

SELECT * FROM mydb.mysch.mytable;

使用 INVOKER_ROLE¶

使用 INVOKER_ROLE 的掩码策略条件以 SQL 语句的执行上下文为目标。

下表总结了 INVOKER_ROLE 在掩码策略条件中返回的执行上下文和值：

请考虑以下应用于表中单个视图的掩码策略正文：

CREATE OR REPLACE MASKING POLICY mask_string AS
(val string) RETURNS string ->
CASE
  WHEN INVOKER_ROLE() IN ('ANALYST') THEN val
  ELSE '********'
END;

Copy

要确定对列运行查询的给定用户是否拥有查看数据的授权，请完成以下步骤：

1. 评估掩码策略条件。

2. 确定指定的角色是否拥有视图。

3. 运行测试查询进行验证。

SHOW GRANTS OF ROLE analyst;

USE ROLE analyst;

SELECT * FROM mydb.mysch.myview;

使用 IS_GRANTED_TO_INVOKER_ROLE¶

此 IS_GRANTED_TO_INVOKER_ROLE 函数可以作为条件的一部分传递到掩码策略正文中。当函数的计算结果为 TRUE 时，函数实参中的角色位于 INVOKER_ROLE 层次结构中。

请考虑以下应用于社会安全号码 (SSNs) 视图列的掩码策略正文：

CREATE OR REPLACE MASKING POLICY mask_string AS
(val string) RETURNS string ->
CASE
  WHEN IS_GRANTED_TO_INVOKER_ROLE('PAYROLL') THEN val
  WHEN IS_GRANTED_TO_INVOKER_ROLE('ANALYST') THEN REGEXP_REPLACE(val, '[0-9]', '*', 7)
  ELSE '*******'
END;

要确定对视图列运行查询的给定用户是否拥有查看数据的授权，请完成以下步骤：

1. 评估掩码策略条件。

2. 确定指定的角色是否位于调用方角色层次结构中。例如，如果在视图上设置了策略，则指定的角色必须位于返回 TRUE 的视图所有者角色层次结构中。有关详细信息，请参阅 使用说明。

3. 运行测试查询进行验证。

USE ROLE payroll;

SELECT * FROM mydb.mysch.myview;

USE ROLE analyst;

SELECT * FROM mydb.mysch.myview;

掩码策略中的哈希、密码和加密函数¶

哈希 和 加密/校验 可用于掩码策略，以对敏感数据进行掩码处理。

在 掩码策略 中实施任何这些函数之前，请务必考虑这些函数的用例是否涉及 JOIN 操作。实施某些掩码策略时，涉及表和视图的创意 JOIN 操作可能会导致基于以下限制将掩码值反向工程为其真实值：

• 可能会发生冲突，因为实际值（即输入）和基于要转换的值总数（即输出、值范围）的哈希值、加密值或校验和值可能没有 1:1 的比例表示。

在输入值的总数达到要转换的输出值的平方根之前，更有可能发生 1:1 比例表示。

例如，如果哈希的输出值为 144，则可以合理地预期前 12 个值（即 144^（1/2） – 144 的平方根）是唯一的，并且其余 132 个值可能会发生冲突。由于此限制及其后果是可能的，因此建议永远不要在其值可能用于 JOIN 操作的掩码策略中使用哈希、加密或校验和函数。