Azure SQL Database の動的データマスク(DDM)で機密データを保護する

サポート担当者が顧客の問い合わせ画面を開いたとき、画面にクレジットカード番号がそのまま表示されてよいだろうか。多くの業務では「データは見えてほしいが、機密の中身までは見せたくない」という中間の要求がある。アプリ側で列を出し分ける実装はバグも漏れも生みやすい。

動的データマスク(Dynamic Data Masking, DDM)は、この出し分けをデータベース側に寄せる仕組みだ。テーブルの実データは一切変えず、クエリ結果が返る瞬間にだけ指定した列を覆い隠す。誰に見せるかは権限で制御し、UNMASK を持つ管理者には素のデータが、持たない一般ユーザーにはマスクされた値が返る。

ここでは Azure SQL Database に顧客テーブルを作り、メール・電話・クレジットカード・給与の各列に種類の違うマスク関数を当てていく。仕上げに低権限ユーザーを 1 つ用意し、同じ SELECT が権限によって別の結果を返す様子を、ポータルのクエリ エディターと Cloud Shell の sqlcmd の両方で観察する。

DDM は深層防御の一層であって暗号化の代替ではない、という距離感も最後に確認する。学習者は Contributor 相当の一時ユーザーでサインイン済みで、リージョンは japaneast、単一のリソースグループ内で作業する。

> このラボのリソースはすべて japaneast に、割り当て済みの単一リソースグループ内で作成します。新しいリソースグループは作らないでください。

1. SQL サーバーと SQL Database を作成する

Azure Portal 上部の検索ボックスに「SQL データベース」と入力し、SQL データベース を開いて + 作成 をクリックします。

「基本」タブで次のように設定します。

• リソースグループ: 割り当て済みのリソースグループを選択
• データベース名: maskdemo
• サーバー: 新規作成 をクリックし、次を入力

- 場所: (Asia Pacific) Japan East

- 認証方法: SQL 認証を使用する

- サーバー管理者ログイン: sqladmin

- パスワード: 強力なパスワードを設定し、必ず控える(後の sqlcmd で使います)

- OK をクリック

• SQL エラスティック プールを使用しますか?: いいえ
• ワークロード環境: 開発

「ネットワーク」タブに進みます。

• 接続方法: パブリック エンドポイント
• 現在のクライアント IP アドレスを追加する: はい
• Azure サービスおよびリソースにこのサーバーへのアクセスを許可する: はい

確認および作成 → 作成 をクリックします。デプロイには数分かかります。完了したら リソースに移動 で maskdemo データベースを開いておきます。

• 動的データ マスク(概要) — DDM の仕組み、対応するマスク関数、UNMASK 権限の考え方
• ポータルから動的データ マスクを構成する — Azure Portal の DDM 設定画面を使った構成手順
• ALTER TABLE で列にマスクを追加する(MASKED WITH) — T-SQL での各マスク関数の構文と例
• Azure SQL Database をクイックスタートで作成する — サーバーとデータベースの作成、ファイアウォール設定
• Azure クエリ エディターでクエリを実行する — Portal 内クエリ エディターの使い方
• go 版 sqlcmd ユーティリティ — sqlcmd のインストールと -C などのオプション