关闭

SQL Server 2016新特性:动态数据屏蔽(Dynamic Data Masking)

标签: SQL Server 2016动态数据屏蔽Dynamic Data Masking
1266人阅读 评论(0) 收藏 举报
分类:


       动态数据屏蔽是SQL Server 2016引入的一项新的特性,通过数据屏蔽,你可以对非授权用户限制敏感数据的曝光。动态数据屏蔽会在查询结果集里隐藏指定栏位的敏感数据,而数据库中的实际数据并没有任何变化。动态数据屏蔽很容易应用到现有的应用系统中,因为屏蔽规则是应用在查询结果上,很多应用程序能够在不修改现有查询语句的情况下屏蔽敏感数据。

        动态数据屏蔽是其他SQL Server安全特性(审计、加密、行级别安全控制等)的补充,微软推荐动态数据屏蔽和其他安全特性结合使用,以更好地保护敏感数据。

        屏蔽规则可以在表的某列上定义,以保护该列的数据,有4种屏蔽类型:DefaultEmailCustom StringRandom。在一个列上创建屏蔽不会阻止该列的更新操作;使用SELECT INTOINSERT INTO把数据从屏蔽列复制到另一张表时,会导致屏蔽的数据存放在目标表;对于没有UNMASK权限的用户来讲,动态数据屏蔽用在SQLServer导入/导出时,会导致目标数据库或文件包含屏蔽的数据。屏蔽规则不能应用于Encrypted columns, FILESTREAM, computed column等。


通过下面的SQL,可以查看哪些表的哪些栏位应用了屏蔽功能:

SELECT c.name, tbl.name as table_name, c.is_masked, c.masking_function
FROM sys.masked_columns AS c
JOIN sys.tables AS tbl 
    ON c.[object_id] = tbl.[object_id]
WHERE is_masked = 1;


下面看看MSDN给的示例,以此来学习如何使用该功能。

1  创建Dynamix Data Mask
1.1  创建一张表,并定义不同类型的dynamic data masks

CREATE TABLE Membership
  (MemberID int IDENTITY PRIMARY KEY,
   FirstName varchar(100) MASKED WITH (FUNCTION = 'partial(1,"XXXXXXX",0)') NULL,
   LastName varchar(100) NOT NULL,
   Phone# varchar(12) MASKED WITH (FUNCTION = 'default()') NULL,
   Email varchar(100) MASKED WITH (FUNCTION = 'email()') NULL);

INSERT Membership (FirstName, LastName, Phone#, Email) VALUES 
('Roberto', 'Tamburello', '555.123.4567', 'RTamburello@contoso.com'),
('Janice', 'Galvin', '555.123.4568', 'JGalvin@contoso.com.co'),
('Zheng', 'Mu', '555.123.4569', 'ZMu@contoso.net');
SELECT * FROM Membership;


1.2  创建一个user,并授SELECT权限,该user执行查询,就能看到屏蔽的数据。

CREATE USER TestUser WITHOUT LOGIN;
GRANT SELECT ON Membership TO TestUser;

EXECUTE AS USER = 'TestUser';
SELECT * FROM Membership;
REVERT;


2  在已存在的列上添加或编辑屏蔽功能
2.1  添加屏蔽功能

ALTER TABLE Membership
ALTER COLUMN LastName ADD MASKED WITH (FUNCTION = 'partial(2,"XXX",0)');
2.2  修改屏蔽功能

ALTER TABLE Membership
ALTER COLUMN LastName varchar(100) MASKED WITH (FUNCTION = 'default()');

3  授权查看未屏蔽的数据

GRANT UNMASK TO TestUser;
EXECUTE AS USER = 'TestUser';
SELECT * FROM Membership;
REVERT; 

-- 解除UNMASK权限
REVOKE UNMASK TO TestUser;


4  删除动态数据屏蔽

ALTER TABLE Membership 
ALTER COLUMN LastName DROP MASKED;


1
0

查看评论
* 以上用户言论只代表其个人观点,不代表CSDN网站的观点或立场
    个人资料
    • 访问:636768次
    • 积分:8366
    • 等级:
    • 排名:第2346名
    • 原创:177篇
    • 转载:23篇
    • 译文:49篇
    • 评论:77条
    最新评论