CREATE MASKING POLICY

마스킹 정책을 생성합니다. 이 정책을 사용하면 특정 사용자 또는 역할이 테이블을 쿼리할 때 컬럼 값을 동적으로 변환하거나 마스킹할 수 있습니다.

구문:

CREATE MASKING POLICY [IF NOT EXISTS | OR REPLACE] policy_name ON [database.]table
    UPDATE column1 = expression1 [, column2 = expression2 ...]
    [WHERE condition]
    TO {role1 [, role2 ...] | ALL | ALL EXCEPT role1 [, role2 ...]}
    [PRIORITY priority_number]

UPDATE 절은 마스킹할 컬럼과 변환 방법을 지정합니다. 하나의 정책에서 여러 컬럼을 마스킹할 수 있습니다.

예시:

• 단순 마스킹: UPDATE email = '***masked***'
• 부분 마스킹: UPDATE email = concat(substring(email, 1, 3), '***@***.***')
• 해시 기반 마스킹: UPDATE email = concat('masked_', substring(hex(cityHash64(email)), 1, 8))
• 여러 컬럼: UPDATE email = '***@***.***', phone = '***-***-****'

선택적 WHERE 절을 사용하면 행 값에 따라 조건부 마스킹을 적용할 수 있습니다. 조건에 일치하는 행에만 마스킹이 적용됩니다.

예시:

CREATE MASKING POLICY mask_high_salaries ON employees
UPDATE salary = 0
WHERE salary > 100000
TO analyst;

TO 섹션에서는 정책을 적용할 사용자와 역할을 지정합니다.

• TO user1, user2: 특정 사용자/역할에 적용
• TO ALL: 모든 사용자에게 적용
• TO ALL EXCEPT user1, user2: 지정한 사용자를 제외한 모든 사용자에게 적용

여러 마스킹 정책이 동일한 사용자의 같은 컬럼을 대상으로 할 때 PRIORITY 절이 적용 순서를 결정합니다. 정책은 우선순위가 높은 것부터 낮은 것 순으로 적용됩니다.

기본 우선순위는 0입니다. 우선순위가 같은 정책은 순서가 정의되지 않은 상태로 적용됩니다.

예시:

-- Applied second (lower priority)
CREATE MASKING POLICY mask1 ON users
UPDATE email = 'low@priority.com'
TO analyst
PRIORITY 1;

-- Applied first (higher priority)
CREATE MASKING POLICY mask2 ON users
UPDATE email = 'high@priority.com'
TO analyst
PRIORITY 10;

-- analyst sees 'low@priority.com' because it's applied last