对象标签、数据分类与隐私策略

Snowflake 管理、治理与协作

Emily Melhuish

Technical Curriculum Developer, Snowflake

规模难题

Claro 有数百张表：既有业务表，也含 PII
手动识别敏感列不完整且会过时
用标签标注已知内容
用 Snowflake 的数据分类发现未知内容

插图：所有表，其中一些被标记为敏感

什么是对象标签？

附加到 Snowflake 对象的元数据标签
不改变列的功能或可查询性
标签附加可搜索的元数据
标签是具有允许值的键值对
- 例如：sensitivity、PII、Confidential 等
使列的敏感度在整个账户内可见且可检索

架构对象

Snowflake 架构对象.png

创建并应用标签

CREATE TAG sensitivity
  ALLOWED_VALUES 'PII', 'Confidential', 'Internal';

ALTER TABLE core.users
  MODIFY COLUMN email
  SET TAG sensitivity = 'PII';

SELECT * FROM TABLE(
  INFORMATION_SCHEMA.TAG_REFERENCES('core.users', 'TABLE'));

¹ https://docs.snowflake.com/en/user-guide/object-tagging/introduction

标签继承

架构级标签会被其内所有表与列继承
便于批量标注，无需给数百列单独打标签
下级对象的标签可覆盖继承值以提高精确度

层级图：架构级敏感度标签下传到其内所有表和列，其中一列用更具体的值覆盖继承标签

什么是数据分类？

对象标签

手动应用
依赖人工知晓某列为敏感数据

数据分类

自动扫描表，检查名称、类型与值
将列映射到标准 PII 类别：姓名、邮箱、电话、护照
可发现治理前已建表中的敏感列

如何实施分类

Snowsight 数据分类截图

¹ https://docs.snowflake.com/en/user-guide/classify-ui-trust-center

隐私策略

发现敏感数据

对象标签用于标注
数据分类用于发现

保护敏感数据

隐私策略将分类自动连接到保护
将分类类别关联到掩码策略
新表中的已分类列将自动掩码，无需手动绑定

让我们来练习！

Snowflake 管理、治理与协作