Fabric Data Engineer Associate（DP-700） 無料問題 1 / 10 ・ 分野1: 分析ソリューションの実装と管理
Fabric の Warehouse で、顧客テーブルの電話番号の列に動的データ マスクを付けた。ワークスペースには Admin・Contributor・Viewer のロールを持つユーザーが1人ずつおり、ほかに、ワークスペースのロールを持たず、このテーブルの SELECT と ALTER ANY MASK を付与されたセキュリティ担当者がいる。誰に対しても GRANT UNMASK は実行していない。この列を SELECT したときの見え方として、動的データ マスクのページの説明に合うものはどれか。
- Admin はマスク前の値を見て、Contributor はマスク後の値を見る
- Viewer はマスク前の値を見て、ALTER ANY MASK を持つ担当者はマスク後の値を見る
- Contributor はマスク前の値を見て、Viewer はマスク後の値を見る
- ALTER ANY MASK を持つ担当者はマスク前の値を見て、Admin はマスク後の値を見る
正解と解説を見る
正解: C
正解の理由
ページは、Fabric の Warehouse でマスクされた列を問い合わせたときにマスクされた値を見るのは、ワークスペースの Admin・Member・Contributor のどれでもなく、Warehouse への昇格した権限も持たないユーザーだと書く。マスク前の値を見るのに要る権限は、列の UNMASK かデータベースの CONTROL。CONTROL は ALTER ANY MASK と UNMASK の両方を含み、Admin・Member・Contributor は設計上データベースの CONTROL を持つので、GRANT UNMASK をしなくても既定でマスク前の値を見る。Viewer は CONTROL を持たないので、マスク後の値を見る。
違う選択肢
「Admin はマスク前の値を見て、Contributor はマスク後の値を見る」… Contributor もマスク前の値を見る。ページは、マスクされた値を見るのは Admin・Member・Contributor のどれでもないユーザーだと書き、Contributor はこの3つに入る。Contributor を UNMASK の無いふつうの利用者として扱うと、この選択肢になる。
「Viewer はマスク前の値を見て、ALTER ANY MASK を持つ担当者はマスク後の値を見る」… Viewer はマスク後の値を見る。Viewer はデータベースの CONTROL を持たず、Warehouse のワークスペースのロールのページも、Viewer に与える権限に CONTROL を挙げていない。マスク前の値を見るには列の UNMASK かデータベースの CONTROL が要り、Viewer はどちらも持たないので、マスクを通した結果を見る。
「ALTER ANY MASK を持つ担当者はマスク前の値を見て、Admin はマスク後の値を見る」… ALTER ANY MASK はマスクを付ける・置き換える・外すための権限で、マスク前の値を見る権限ではない。ページはマスク前の値を見るのに UNMASK か CONTROL が要ると表に書き、担当者にはどちらも無い。Admin は CONTROL を持つので、マスク前の値を見る。
押さえどころ
マスクの対象から外したい利用者を Contributor にすると、その人は全部の列をマスク前で見る。ページは、動的データ マスクは問い合わせの結果を隠すだけで、問い合わせを繰り返して値を推し量ることは防げないとも書き、列レベル・行レベルのセキュリティと組み合わせるよう勧める。マスクの管理はセキュリティ担当に ALTER ANY MASK、値を見せる相手に UNMASK と、権限を分けて与える。