如何在Snowflake中实现SQL Server的ADD SENSITIVITY CLASSIFICATION列分类功能

首先提供与原SQL Server结构对齐的Snowflake建表语句，注意调整列名标识符、字符类型适配：

CREATE TABLE test_staging(
    "Event Date" varchar(250) NULL,
    "Employee ID" varchar(250) NULL,
    Amount varchar(250) NULL,
    Hours varchar(250) NULL,
    "Currency Code" varchar(250) NULL,
    "Pay Type" varchar(250) NULL,
    "Check Date" varchar(250) NULL,
    FileName varchar(260) NULL
);

替代ADD SENSITIVITY CLASSIFICATION的核心方案（除数据屏蔽外） #

• 原生对象标签（Object Tag，最推荐）
  Snowflake的对象标签功能完全可以实现和SQL Server敏感度分类等价的元数据打标能力，支持自定义分类属性、审计查询、和权限策略联动，示例代码如下：

-- 先创建对应分类维度的标签，覆盖原SQL Server的所有分类字段
CREATE TAG SENSITIVITY_CLASSIFICATION 
    ALLOWED_VALUES 'Confidential', 'Internal', 'Public'
    COMMENT = '对齐SQL Server敏感度分类的标签';
CREATE TAG INFORMATION_TYPE 
    ALLOWED_VALUES 'Financial', 'Personal', 'Operational'
    COMMENT = '数据信息类型分类';
CREATE TAG RANK
    ALLOWED_VALUES 'Low', 'Medium', 'High', 'Critical'
    COMMENT = '敏感级别权重';
CREATE TAG LABEL_ID COMMENT = '分类标签唯一ID';
CREATE TAG INFORMATION_TYPE_ID COMMENT = '信息类型唯一ID';

-- 给指定列打标签，和原SQL Server分类逻辑完全对齐
ALTER TABLE test_staging MODIFY COLUMN Amount 
    SET TAG SENSITIVITY_CLASSIFICATION = 'Confidential',
        LABEL_ID = '8e9913ef-0360-4da5-b591-9c89cba52b8a',
        INFORMATION_TYPE = 'Financial',
        INFORMATION_TYPE_ID = 'c44193e1-0e58-4b2a-9001-f7d6e7bc1373',
        RANK = 'Medium';

ALTER TABLE test_staging MODIFY COLUMN "Currency Code"
    SET TAG SENSITIVITY_CLASSIFICATION = 'Confidential',
        LABEL_ID = '8e9913ef-0360-4da5-b591-9c89cba52b8a',
        INFORMATION_TYPE = 'Financial',
        INFORMATION_TYPE_ID = 'c44193e1-0e58-4b2a-9001-f7d6e7bc1373',
        RANK = 'Medium';

分类审计查询语句：

SELECT * FROM TABLE(INFORMATION_SCHEMA.TAG_REFERENCES('test_staging', 'TABLE'));

• 结构化列注释存储
  如果无需和权限策略联动，可直接将分类信息以JSON格式存储在列注释中，实现轻量分类：

ALTER TABLE test_staging MODIFY COLUMN Amount 
    COMMENT = '{"label":"Confidential","label_id":"8e9913ef-0360-4da5-b591-9c89cba52b8a","information_type":"Financial","information_type_id":"c44193e1-0e58-4b2a-9001-f7d6e7bc1373","rank":"Medium"}';

分类查询语句：

SELECT COLUMN_NAME, PARSE_JSON(COMMENT) AS SENSITIVITY_CLASSIFICATION 
FROM INFORMATION_SCHEMA.COLUMNS 
WHERE TABLE_NAME = 'TEST_STAGING' AND PARSE_JSON(COMMENT):label IS NOT NULL;

• 标签联动访问策略强化管控
  可以基于已打的敏感度标签，搭配Snowflake的动态数据屏蔽、行访问策略，实现分类后的自动权限管控，能力超出SQL Server原生敏感度分类，示例：仅允许财务角色访问Confidential级别的金融数据明文：

-- 创建数据屏蔽策略
CREATE MASKING POLICY mask_confidential_financial AS (val string) RETURNS string ->
  CASE 
    WHEN CURRENT_ROLE() IN ('FINANCE_ROLE') THEN val
    ELSE '***'
  END;

-- 给敏感列应用策略
ALTER TABLE test_staging MODIFY COLUMN Amount SET MASKING POLICY mask_confidential_financial;

内容的提问来源于stack exchange，提问作者Nanda