如何在Power BI DirectQuery模式下按用户名实现数据混淆或列替换

1. Snowflake侧会话变量+自定义UDF动态脱敏 #

在Snowflake层实现基于当前用户的动态脱敏逻辑，通过Power BI传递用户身份到Snowflake会话：

• 在Snowflake创建用户判断UDF：根据会话变量中的Power BI用户信息，判断是否属于授权组，返回原始PII或脱敏值（例如邮箱脱敏为***@domain.com，姓名脱敏为X**）。
• Power BI侧通过M语言获取当前用户：let CurrentUser = UserPrincipalName() in CurrentUser，然后在DirectQuery的自定义SQL中，将用户信息传入Snowflake会话变量：

  SET PBI_CURRENT_USER = '${CurrentUser}';
  SELECT 
    col1,
    col2,
    CASE WHEN IS_AUTHORIZED(PBI_CURRENT_USER) THEN email ELSE '***@' || SPLIT_PART(email, '@', -1) END AS email
  FROM your_table
  

• 优势：完全在数据源层处理，Power BI可视化无额外负担，DirectQuery兼容；缺点：需Snowflake权限开发UDF，M语言传递用户需确保连接配置正确。

2. Power BI度量值实现视觉对象级条件显示 #

针对单个PII字段创建DAX度量值，根据用户权限动态切换显示内容，规避RLS的报错问题：

• 创建授权组判断度量值：Is Authorized = ISMEMBEROF("PII_Access_Group")
• 针对每个PII字段创建显示度量值，例如邮箱：

  Display Email = 
  IF(
    [Is Authorized],
    MAX('YourTable'[Email]),
    "***@" & RIGHT(MAX('YourTable'[Email]), LEN(MAX('YourTable'[Email])) - FIND("@", MAX('YourTable'[Email])))
  )
  

• 用该度量值替换视觉对象中的原始列，DirectQuery模式下MAX函数会被转换为Snowflake的聚合逻辑，单值场景下可正常工作；优势：无需修改数据源，纯Power BI配置；缺点：需为每个PII字段单独创建度量值，多值场景下需调整逻辑。

3. Snowflake视图+行级安全（RLS） #

将脱敏逻辑嵌入Snowflake视图，结合Snowflake原生RLS控制用户访问权限，Power BI直接连接视图：

• 创建两个Snowflake角色：PII_AUTHORIZED和PII_RESTRICTED，分别授予原始数据和脱敏数据的访问权限。
• 创建视图，根据当前用户角色返回对应数据：

  CREATE VIEW pii_protected_view AS
  SELECT
    col1,
    col2,
    CASE WHEN CURRENT_ROLE() = 'PII_AUTHORIZED' THEN email ELSE '***@' || SPLIT_PART(email, '@', -1) END AS email
  FROM your_table
  

• Power BI使用DirectQuery连接该视图，用户通过Snowflake身份验证访问，自动匹配角色获取对应数据；优势：数据源层管控，Power BI无额外配置，可视化组件正常显示；缺点：依赖Snowflake RLS配置，需统一用户身份验证机制。

4. Power BI数据集角色映射+Snowflake视图切换 #

在同一数据集中通过角色映射，让不同用户访问Snowflake的不同视图（原始/脱敏）：

• 在Snowflake创建两个视图：raw_data_view（含原始PII）和obfuscated_data_view（脱敏后数据）。
• 在Power BI数据集中创建两个角色：Authorized Users和Standard Users，分别设置自定义SQL连接对应视图。
• 将Power BI安全组映射到数据集角色，用户访问时自动加载对应视图的数据；优势：同一报表支持两种数据模式，无需拆分报表；缺点：需维护两个Snowflake视图，数据集角色配置需严谨。

内容的提问来源于stack exchange，提问作者AcePL