Clausola Column mask

Si applica a: Solo Databricks SQL Databricks Runtime 12.2 LTS e versioni successive al catalogo Unity

Specifica una funzione applicata a una colonna ogni volta che vengono recuperate righe dalla tabella. Tutte le query successive da tale colonna ricevono il risultato della valutazione della funzione sulla colonna al posto del valore originale della colonna. Ciò può essere utile per scopi di controllo di accesso con granularità fine, in cui la funzione può esaminare l'identità o le appartenenze a gruppi dell'utente che richiama per decidere se revisionare il valore.

È possibile aggiungere le column mask quando:

• Creare una tabella tramite CREATE TABLE
• Aggiungere colonne a una tabella con ALTER TABLE ... AGGIUNGI COLONNA.
• Modificare una colonna con ALTER TABLE ... ALTER COLUMN.

Per altre informazioni su come usare le column mask, vedere Filtrare i dati delle tabelle sensibili usando filtri di riga e mascheramenti di colonne.

Sintassi

MASK func_name [ USING COLUMNS ( other_column_name | constant_literal [, ...] ) ]

Parametri

• func_name

  Una UDF scalare di SQL con almeno un parametro.

  Il primo parametro della UDF SQL esegue il mapping 1:1 con la colonna mascherata. Il tipo della colonna mascherata deve essere convertibile al tipo di parametro della UDF SQL. Se func_name richiede più parametri, gli argomenti devono essere forniti dalla clausola USING COLUMNS.

  Il tipo restituito della funzione deve essere convertibile al tipo di dati della colonna mascherata.

• other_column_name

  Facoltativamente, specifica che colonne aggiuntive della tabella della colonna mascherata passino a func_name. Ogni other_column_name deve essere assegnabile al parametro corrispondente di func_name.

  Usare un mascheramento di colonna per rendere anonimo in modo selettivo il valore di column_identifier in base all'utente che esegue una query su table_name, il valore di column_identifier e l'oggetto facoltativo other_column.

• constant_literal

  Specifica un parametro costante con il tipo corrispondente a un parametro di funzione. Sono supportati i seguenti tipi: STRING, numerico (INTEGER, FLOAT, DOUBLE, DECIMAL ...) , BOOLEAN, INTERVAL, NULL.

Esempi

Per altri esempi, vedere Filtrare i dati delle tabelle sensibili usando filtri di riga e mascheramenti di colonna.

-- Create a table with a masked column
> CREATE FUNCTION mask_ssn(ssn STRING) RETURN CASE WHEN is_member('HumanResourceDept') THEN ssn ELSE '***-**-****' END;
> CREATE TABLE persons(name STRING, ssn STRING MASK mask_ssn);
> INSERT INTO persons VALUES('James', '123-45-6789';

-- As a non-member of 'HumanResourceDept'
> SELECT * FROM persons;
  James  ***-**-****

-- As a member of 'HumanResourceDept'
> SELECT * FROM persons;
  James  123-45-6789

-- Create a masking function with multiple parameters. When applied first parameter will be the column that masking function applies to
> CREATE FUNCTION mask_pii_regional(value STRING, region STRING)
  RETURN IF(is_account_group_member(region || '_HumanResourceDept'), value, 'REDACTED');

-- Create a table with a masked column. Masking function first parameter will be the column that is masked.
-- The rest of the parameters should be specified in `USING COLUMNS (<columnList>)` clause
> CREATE TABLE persons(name STRING, address STRING MASK mask_pii_regional USING COLUMNS (region), region STRING);
> INSERT INTO persons('James', '160 Spear St, San Francisco', 'US')

-- As a non-member of 'US_HumanResourceDept'
> SELECT * FROM persons;
  James | REDACTED | US

-- As a member of 'US_HumanResourceDept'
> SELECT * FROM persons;
  James | 160 Spear St, San Francisco | US

Articoli correlati

• Clausola ROW FILTER
• ALTER TABLE
• CREATE TABLE