Spaltendaten maskieren

In diesem Dokument erfahren Sie, wie Sie Datenmaskierung implementieren, um vertrauliche Daten selektiv unkenntlich zu machen. Durch die Implementierung einer Datenmaskierung können Sie verschiedenen Nutzergruppen ein unterschiedliches Maß an Sichtbarkeit bieten. Allgemeine Informationen finden Sie unter Einführung in die Datenmaskierung.

Zum Implementieren der Datenmaskierung fügen Sie eine Datenrichtlinie in eine Spalte ein. So fügen Sie eine Datenmaskierungsrichtlinie zu einer Spalte hinzu:

1. Erstellen Sie eine Taxonomie mit mindestens einem Richtlinien-Tag.
2. Optional: Zuweisen der Rolle „Detaillierter Lesezugriff für Data Catalog“ zu einem oder mehreren Hauptkonten für ein oder mehrere von Ihnen erstellte Richtlinien-Tags.
3. Erstellen Sie bis zu drei Datenrichtlinien für das Richtlinien-Tag, um Maskierungsregeln und Hauptkonten, die Nutzer oder Gruppen darstellen, diesem Tag zuzuordnen.
4. Legen Sie das Richtlinien-Tag für eine Spalte fest. Dadurch werden die Datenrichtlinien, die dem Richtlinien-Tag zugeordnet sind, der ausgewählten Spalte zugeordnet.
5. Weisen Sie Nutzern, die Zugriff auf maskierte Daten haben sollen, die Rolle „BigQuery: Maskierter Leser“ zu. Weisen Sie als Best Practice die Rolle „Maskierter Leser“ auf Datenrichtlinienebene zu. Durch das Zuweisen der Rolle auf Projektebene oder höher werden Nutzern Berechtigungen für alle Datenrichtlinien unter dem Projekt erteilt. Dies kann zu Problemen bei übermäßigen Berechtigungen führen.

Sie können die Google Cloud Console oder die BigQuery Data Policy API verwenden, um mit Datenrichtlinien zu arbeiten.

Wenn Sie diese Schritte abgeschlossen haben, erhalten Nutzer, die Abfragen für die Spalte ausführen, unmaskierte Daten, maskierte Daten oder eine Fehlermeldung, dass der Zugriff verweigert wurde, je nach den Gruppen, denen sie angehören, und den Rollen, die ihnen zugewiesen wurden. Weitere Informationen zu Interaktion der Rollen „Maskierter Leser“ und „Detaillierter Lesezugriff“.

Alternativ können Sie Datenrichtlinien direkt auf eine Spalte anwenden (Vorschau). Weitere Informationen finden Sie unter Daten mit Datenrichtlinien direkt in einer Spalte maskieren.

Daten mit Richtlinien-Tags maskieren

Mit Richtlinien-Tags können Sie sensible Daten selektiv unkenntlich machen.

Hinweise

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Data Catalog and BigQuery Data Policy APIs.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Data Catalog and BigQuery Data Policy APIs.

Enable the APIs

1. BigQuery ist in neuen Projekten automatisch aktiviert. Möglicherweise müssen Sie es jedoch in einem bereits vorhandenen Projekt aktivieren.

2. Enable the BigQuery API.

   Enable the API

3. Wenn Sie eine Datenrichtlinie erstellen, die auf eine benutzerdefinierte Maskierungsroutine verweist, erstellen Sie die zugehörige Maskierungs-UDF, damit sie in den folgenden Schritten verfügbar ist.

Taxonomien erstellen

Dem Nutzer- oder Dienstkonto, das eine Taxonomie erstellt, muss die Data Catalog-Rolle "Richtlinien-Tag-Administrator" zugewiesen sein.

Console

1. Öffnen Sie in derGoogle Cloud Console die Seite Richtlinien-Tag-Taxonomien.

   Zur Seite "Richtlinien-Tag-Taxonomien"

2. Klicken Sie auf Taxonomie erstellen.

3. Auf der Seite Neue Taxonomie gehen Sie so vor:

   1. Geben Sie unter Taxonomiename den Namen der Taxonomie ein, die Sie erstellen möchten.
   2. Geben Sie unter Beschreibung eine Beschreibung ein.
   3. Ändern Sie bei Bedarf das unter Projekt aufgeführte Projekt.
   4. Ändern Sie bei Bedarf den unter Speicherort aufgeführten Speicherort.
   5. Geben Sie unter Richtlinien-Tags einen Namen und eine Beschreibung für das Richtlinien-Tag ein.
   6. Wenn Sie einem Richtlinien-Tag ein untergeordnetes Richtlinien-Tag hinzufügen möchten, klicken Sie auf Untergeordnetes Tag hinzufügen.
   7. Klicken Sie auf + Richtlinien-Tag hinzufügen, wenn ein neues Richtlinien-Tag auf der gleichen Ebene wie ein vorhandenes Richtlinien-Tag hinzugefügt werden soll.
   8. Fügen Sie weitere Richtlinien-Tags und untergeordnete Richtlinien-Tags hinzu, wenn es für Ihre Taxonomie erforderlich ist.
   9. Wenn Sie alle Richtlinien-Tags für Ihre Hierarchie erstellt haben, klicken Sie auf Erstellen.

API

Rufen Sie taxonomies.import anstelle der ersten beiden Schritte des folgenden Verfahrens auf, wenn Sie vorhandene Taxonomien verwenden möchten.

1. Rufen Sie taxonomies.create auf, um eine Taxonomie zu erstellen.
2. Rufen Sie taxonomies.policytag.create auf, um ein Richtlinien-Tag zu erstellen.

Mit Richtlinien-Tags arbeiten

Weitere Informationen über die Verwendung von Richtlinien-Tags, z. B. zum Anzeigen oder Aktualisieren der Tags, finden Sie unter Mit Richtlinien-Tags arbeiten. Best Practices finden Sie unter Best Practices für die Verwendung von Richtlinien-Tags in BigQuery.

Datenrichtlinien erstellen

Das Nutzer- oder Dienstkonto, mit dem eine Datenrichtlinie erstellt wird, muss die Berechtigungen bigquery.dataPolicies.create, bigquery.dataPolicies.setIamPolicy und datacatalog.taxonomies.get haben.

Die Berechtigungen bigquery.dataPolicies.create und bigquery.dataPolicies.setIamPolicy sind in den Rollen „BigQuery Data Policy Admin“, „BigQuery-Administrator“ und „BigQuery-Dateninhaber“ enthalten. Die Berechtigung datacatalog.taxonomies.get ist in den Data Catalog-Admin- und Data Catalog-Betrachter-Rollen enthalten.

Wenn Sie eine Datenrichtlinie erstellen, die auf eine benutzerdefinierte Maskierungsroutine verweist, benötigen Sie außerdem Berechtigungen für Routinen.

Bei benutzerdefinierter Maskierung müssen Sie Nutzern die Rolle „BigQuery-Administrator“ oder „BigQuery-Dateninhaber“ zuweisen, damit sie die erforderlichen Berechtigungen für Routinen und Datenrichtlinien haben.

Sie können bis zu neun Datenrichtlinien für ein Richtlinien-Tag erstellen. Eine dieser Richtlinien ist für die Einstellungen für die Zugriffssteuerung auf Spaltenebene reserviert.

Console

1. Öffnen Sie in derGoogle Cloud Console die Seite Richtlinien-Tag-Taxonomien.

   Zur Seite "Richtlinien-Tag-Taxonomien"

2. Klicken Sie auf den Namen der Taxonomie, die Sie öffnen möchten.
3. Wählen Sie ein Richtlinien-Tag aus.
4. Klicken Sie auf Datenrichtlinien verwalten.
5. Geben Sie bei Datenrichtlinienname einen Namen für die Datenrichtlinie ein. Der Name der Datenrichtlinie muss innerhalb des Projekts, in dem sie sich befindet, eindeutig sein.
6. Wählen Sie unter Maskierungsregel eine vordefinierte Maskierungsregel oder eine benutzerdefinierte Maskierungsabfolge aus. Wenn Sie eine benutzerdefinierte Maskierungsroutine auswählen, müssen Sie auf Projektebene sowohl die Berechtigung bigquery.routines.get als auch bigquery.routines.list haben.
7. Geben Sie unter Principal den Namen eines oder mehrerer Nutzer oder Gruppen ein, denen Sie getarnten Zugriff auf die Spalte gewähren möchten. Beachten Sie, dass allen Nutzern und Gruppen hier die Rolle „BigQuery Maskierter Leser“ zugewiesen wird.
8. Klicken Sie auf Senden.

API

1. Rufen Sie die Methode create auf. Übergeben Sie eine DataPolicy-Ressource, die die folgenden Anforderungen erfüllt:

   • Das Feld dataPolicyType ist auf DATA_MASKING_POLICY gesetzt.
   • Im Feld dataMaskingPolicy wird die zu verwendende Datenmaskierungsregel oder ‑routine angegeben.
   • Das Feld dataPolicyId enthält einen eindeutigen Namen für die Datenrichtlinie innerhalb des Projekts, in dem sie sich befindet.

2. Rufen Sie die Methode setIamPolicy auf und übergeben Sie sie in einer Policy. Policy muss die Hauptkonten identifizieren, die Zugriff auf maskierte Daten haben, und roles/bigquerydatapolicy.maskedReader für das Feld role angeben.

Richtlinien-Tags für Spalten festlegen

Legen Sie eine Datenrichtlinie für eine Spalte fest, indem Sie das mit der Datenrichtlinie verknüpfte Richtlinien-Tag an die Spalte anhängen.

Das Nutzer- oder Dienstkonto, mit dem ein Richtlinien-Tag festgelegt werden soll, benötigt die Berechtigungen datacatalog.taxonomies.get und bigquery.tables.setCategory. datacatalog.taxonomies.get ist in den Data Catalog-Richtlinien-Tags-Administrator- und Projektbetrachter-Rollen enthalten. bigquery.tables.setCategory ist in den Rollen "BigQuery-Administrator" (roles/bigquery.admin) und "BigQuery-Dateninhaber" (roles/bigquery.dataOwner) enthalten.

Um Taxonomien und Richtlinien-Tags für alle Projekte in einer Organisation in derGoogle Cloud -Konsole aufzurufen, benötigen Nutzer die Berechtigung resourcemanager.organizations.get. Diese ist in der Rolle „Organisationsbetrachter“ enthalten.

Console

Legen Sie das Richtlinien-Tag fest, indem Sie in derGoogle Cloud Console ein Schema ändern.

1. Öffnen Sie in der Google Cloud Console die Seite „BigQuery“.

   Zur Seite "BigQuery"

2. Suchen Sie in BigQuery Explorer die Tabelle, die Sie aktualisieren möchten, und wählen Sie sie aus. Das Tabellenschema für diese Tabelle wird geöffnet.

3. Klicken Sie auf Schema bearbeiten.

4. Wählen Sie im Bildschirm Aktuelles Schema die Zielspalte aus und klicken Sie auf Richtlinien-Tag hinzufügen.

5. Suchen Sie im Bildschirm Richtlinien-Tag hinzufügen das Richtlinien-Tag, das Sie auf die Spalte anwenden möchten, und wählen Sie es aus.

6. Klicken Sie auf Auswählen. Ihr Bildschirm sollte nun in etwa so aussehen:

   

7. Klicken Sie auf Speichern.

bq

1. Schreiben Sie das Schema in eine lokale Datei.

   bq show --schema --format=prettyjson \    project-id:dataset.table > schema.json

   Dabei gilt:

   • project-id ist die Projekt-ID.
   • dataset ist der Name des Datasets, das die zu aktualisierende Tabelle enthält.
   • table ist der Name der Tabelle, die Sie aktualisieren.

2. Ändern Sie "schema.json" so, dass darin ein Richtlinien-Tag für eine Spalte festgelegt wird. Verwenden Sie für den Wert des Feldes names von policyTags den Ressourcennamen des Richtlinien-Tags.

   [  ...  {    "name": "ssn",    "type": "STRING",    "mode": "REQUIRED",    "policyTags": {      "names": ["projects/project-id/locations/location/taxonomies/taxonomy-id/policyTags/policytag-id"]    }  },  ... ]

3. Aktualisieren Sie das Schema.

   bq update \    project-id:dataset.table schema.json

API

Rufen Sie für vorhandene Tabellen tables.patch oder für neue Tabellen tables.insert auf. Verwenden Sie das Attribut schema des übergebenen Table-Objekts, um ein Richtlinien-Tag in Ihrer Schemadefinition festzulegen. Das Beispielschema für die Befehlszeile zeigt, wie Sie ein Richtlinien-Tag angeben.

Wenn Sie mit einer vorhandenen Tabelle arbeiten, wird die Methode tables.patch bevorzugt, da die Methode tables.update die gesamte Tabellenressource ersetzt.

Zugriffssteuerung erzwingen

Wenn Sie eine Datenrichtlinie für ein Richtlinien-Tag erstellen, wird die Zugriffssteuerung automatisch erzwungen. Alle Spalten, auf die dieses Richtlinien-Tag angewendet wurde, geben maskierte Daten als Antwort auf Abfragen von Nutzern zurück, die die Rolle „Maskierter Leser“ haben.

Um die Erzwingung der Zugriffssteuerung zu beenden, müssen Sie zuerst alle Datenrichtlinien löschen, die mit den Richtlinien-Tags in der Taxonomie verknüpft sind. Weitere Informationen zu Zugriffssteuerung erzwingen.

IAM-Berechtigungen für eine Datenrichtlinie prüfen

Rufen Sie die Methode testIamPermissions auf, um zu sehen, welche Berechtigungen Sie für eine Datenrichtlinie haben.

Datenrichtlinien aktualisieren

Das Nutzer- oder Dienstkonto, das eine Datenrichtlinie aktualisiert, muss die Berechtigung bigquery.dataPolicies.update haben. Wenn Sie das Richtlinien-Tag aktualisieren, mit dem die Datenrichtlinie verknüpft ist, benötigen Sie außerdem die Berechtigung datacatalog.taxonomies.get.

Wenn Sie die mit der Datenrichtlinie verknüpften Hauptkonten aktualisieren, benötigen Sie die Berechtigung bigquery.dataPolicies.setIamPolicy.

Die Berechtigungen bigquery.dataPolicies.update und bigquery.dataPolicies.setIamPolicy sind in den Rollen „BigQuery Data Policy Admin“, „BigQuery-Administrator“ und „BigQuery-Dateninhaber“ enthalten. Die Berechtigung datacatalog.taxonomies.get ist in den Data Catalog-Admin- und Data Catalog-Betrachter-Rollen enthalten.

Console

1. Öffnen Sie in derGoogle Cloud Console die Seite Richtlinien-Tag-Taxonomien.

   Zur Seite "Richtlinien-Tag-Taxonomien"

2. Klicken Sie auf den Namen der Taxonomie, die Sie öffnen möchten.
3. Wählen Sie ein Richtlinien-Tag aus.
4. Klicken Sie auf Datenrichtlinien verwalten.
5. Ändern Sie optional die Maskierungsregel.
6. Optional: Hauptkonten hinzufügen oder entfernen.
7. Klicken Sie auf Senden.

API

Rufen Sie zum Ändern der Datenmaskierungsregel die Methode patch auf und übergeben Sie sie in eine DataPolicy-Ressource mit einem aktualisiertes dataMaskingPolicy-Feld.

Rufen Sie zum Ändern der mit einer Datenrichtlinie verknüpften Hauptkonten die Methode setIamPolicy auf und übergeben Sie sie in eine Policy, die Hauptkonten aktualisiert, die Zugriff auf maskierte Daten erhalten.

Datenrichtlinien löschen

Das Nutzer- oder Dienstkonto, mit dem eine Datenrichtlinie erstellt wird, muss die Berechtigung bigquery.dataPolicies.delete haben. Diese Berechtigung ist in den Rollen „BigQuery-Administrator für Datenrichtlinien“, „BigQuery-Administrator“ und „BigQuery-Dateninhaber“ enthalten.

Console

1. Öffnen Sie in derGoogle Cloud Console die Seite Richtlinien-Tag-Taxonomien.

   Zur Seite "Richtlinien-Tag-Taxonomien"

2. Klicken Sie auf den Namen der Taxonomie, die Sie öffnen möchten.
3. Wählen Sie ein Richtlinien-Tag aus.
4. Klicken Sie auf Datenrichtlinien verwalten.
5. Klicken Sie neben der zu löschenden Datenrichtlinie auf delete.
6. Klicken Sie auf Senden.
7. Klicken Sie auf Bestätigen.

API

Rufen Sie zum Löschen einer Datenrichtlinie die Methode delete auf.

Daten maskieren, indem Sie Datenrichtlinien auf eine Spalte anwenden

Alternativ zum Erstellen von Richtlinien-Tags können Sie Datenrichtlinien erstellen und direkt auf eine Spalte anwenden.

Mit Datenrichtlinien arbeiten

Sie können Datenrichtlinien mit der BigQuery Data Policy API erstellen, aktualisieren und löschen. Wenn Sie eine Datenrichtlinie direkt auf eine Spalte anwenden möchten, können Sie die Seite Richtlinien-Tag-Taxonomien in der Google Cloud -Konsole nicht verwenden.

Verwenden Sie die Ressource v2.projects.locations.datapolicies, um mit Datenrichtlinien zu arbeiten.

Datenrichtlinien erstellen

Das Nutzer- oder Dienstkonto, mit dem eine Datenrichtlinie erstellt wird, muss die Berechtigung bigquery.dataPolicies.create haben.

Die Berechtigung bigquery.dataPolicies.create ist in den Rollen „BigQuery Data Policy Admin“, „BigQuery-Administrator“ und „BigQuery-Dateninhaber“ enthalten. Die Berechtigung datacatalog.taxonomies.get ist in den Rollen „Data Catalog-Administrator“ und „Data Catalog-Betrachter“ enthalten.

Wenn Sie eine Datenrichtlinie erstellen, die auf eine benutzerdefinierte Maskierungsroutine verweist, benötigen Sie außerdem Berechtigungen für Routinen.

Wenn Sie benutzerdefinierte Maskierung verwenden, weisen Sie Nutzern die Rolle „BigQuery-Dateninhaber“ zu, damit sie die erforderlichen Berechtigungen für Routinen und Datenrichtlinien haben.

Rufen Sie zum Erstellen einer Datenrichtlinie die Methode create auf. Übergeben Sie eine DataPolicy-Ressource, die die folgenden Anforderungen erfüllt:

• Das Feld dataPolicyType ist auf DATA_MASKING_POLICY oder RAW_DATA_ACCESS_POLICY gesetzt.
• Im Feld dataMaskingPolicy wird die zu verwendende Datenmaskierungsregel oder ‑routine angegeben.
• Das Feld dataPolicyId enthält einen eindeutigen Namen für die Datenrichtlinie innerhalb des Projekts, in dem sie sich befindet.

Datenrichtlinien aktualisieren

Das Nutzer- oder Dienstkonto, das eine Datenrichtlinie aktualisiert, muss die Berechtigung bigquery.dataPolicies.update haben.

Die Berechtigung bigquery.dataPolicies.update ist in den Rollen „BigQuery Data Policy Admin“, „BigQuery-Administrator“ und „BigQuery-Dateninhaber“ enthalten.

Rufen Sie zum Ändern der Datenmaskierungsregel die Methode patch auf und übergeben Sie sie in eine DataPolicy-Ressource mit einem aktualisiertes dataMaskingPolicy-Feld.

Sie können auch einen detaillierten Zugriff auf Datenrichtlinien gewähren.

Die Berechtigungen zum Gewähren des detaillierten Zugriffs auf Datenrichtlinien und zum Verwalten von Datenrichtlinien sind unterschiedlich. Wenn Sie die Berechtigungen für die detaillierte Zugriffssteuerung verwalten möchten, müssen Sie das Feld grantees der Datenrichtlinie aktualisieren. Um den Zugriff auf die Datenrichtlinien zu steuern, legen Sie die IAM-Rollen mit der Methode setIamPolicy fest.

Verwenden Sie die Methode v2 patch , um Empfänger für eine Datenrichtlinie festzulegen. Verwenden Sie die Methode v1 setIamPolicy, um Berechtigungen für Datenrichtlinien zu verwalten.

Rufen Sie zum Gewähren des Zugriffs auf Datenrichtlinien mit detaillierter Zugriffssteuerung die Methode patch auf und übergeben Sie sie in eine DataPolicy-Ressource mit einem aktualisierten grantees-Feld.

Datenrichtlinien löschen

Das Nutzer- oder Dienstkonto, mit dem eine Datenrichtlinie erstellt wird, muss die Berechtigung bigquery.dataPolicies.delete haben. Diese Berechtigung ist in den Rollen „BigQuery-Administrator für Datenrichtlinien“, „BigQuery-Administrator“ und „BigQuery-Dateninhaber“ enthalten.

Rufen Sie zum Löschen einer Datenrichtlinie die Methode delete auf.

Datenrichtlinie direkt einer Spalte zuweisen

Sie können eine Datenrichtlinie direkt einer Spalte zuweisen, ohne Richtlinien-Tags zu verwenden.

Hinweise

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle BigQuery Data Policy Admin (roles/bigquerydatapolicy.admin) für Ihre Tabelle zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum direkten Zuweisen einer Datenrichtlinie für eine Spalte benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierte Rolle enthält die Berechtigungen, die zum direkten Zuweisen einer Datenrichtlinie für eine Spalte erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Datenrichtlinie zuweisen

So weisen Sie einer Spalte direkt eine Datenrichtlinie zu:

    CREATE TABLE myproject.table1 (     name INT64 OPTIONS (data_policies=["{'name':'myproject.region-us.data_policy_name1'}",                                       "{'name':'myproject.region-us.data_policy_name2'}"])     );

ALTER TABLE myproject.table1 ALTER COLUMN column_name SET OPTIONS (   data_policies += ["{'name':'myproject.region-us.data_policy_name1'}",                     "{'name':'myproject.region-us.data_policy_name2'}"]);

Beschränkungen

Das direkte Zuweisen einer Datenrichtlinie für eine Spalte unterliegt den folgenden Einschränkungen:

• Verwenden Sie die Ressource v2.projects.locations.datapolicies:
• Sie können nicht sowohl Richtlinien-Tags als auch Datenrichtlinien auf dieselbe Spalte anwenden.
• Sie können maximal acht Datenrichtlinien an eine Spalte anhängen.
• Eine Tabelle kann über ihre Spalten auf maximal 1.000 einzelne Datenrichtlinien verweisen.
• Sie können nicht sowohl Richtlinien-Tags als auch Datenrichtlinien auf dieselbe Spalte anwenden.
• Eine Abfrage kann auf maximal 2.000 Datenschutzrichtlinien verweisen.
• Sie können eine Datenrichtlinie nur löschen, wenn keine Tabellenspalte darauf verweist.
• Wenn ein Nutzer nur die Rolle maskedAccess hat, schlägt der API-Aufruf tabledata.list fehl.
• Tabellenkopiervorgänge schlagen bei Tabellen fehl, die durch Richtlinien für Spaltendaten geschützt sind, wenn der Nutzer keinen Zugriff auf Rohdaten hat.
• Regionsübergreifende Tabellenkopien werden für Tabellen, die durch Richtlinien für Spaltendaten geschützt sind, nicht unterstützt.
• Spaltendatenrichtlinien sind in BigQuery Omni-Regionen nicht verfügbar.
• Legacy-SQL schlägt fehl, wenn die Zieltabellen Spaltendatenrichtlinien haben.
• Ladejobs unterstützen keine benutzerdefinierten Schemas mit Spaltendatenrichtlinien.
• Wenn Sie eine Zieltabelle überschreiben, werden alle vorhandenen Richtlinien-Tags aus der Tabelle entfernt, es sei denn, Sie verwenden das Flag --destination_schema, um ein Schema mit Spaltendatenrichtlinien anzugeben.
• Standardmäßig wird die Datenmaskierung für partitionierte oder geclusterte Spalten nicht unterstützt. Dies ist eine allgemeine Einschränkung der Datenmaskierung und nicht spezifisch für Richtlinien für Spaltendaten. Die Datenmaskierung für partitionierte oder geclusterte Spalten kann die Abfragekosten erheblich steigern.