データマスキングを使用して機密情報を非表示にする

移行するテーブルの 1 つ以上の列に保存されている機密データを非表示にする場合、データマスキングの変換ルールアクションを活用できます。バージョン 3.5.4 以降、AWS DMS はテーブルマッピングでデータマスキングの変換ルールアクションが使用できるようになっているため、移行プロセス中に 1 つ以上の列の内容を変更できます。AWS DMS は、この変更されたデータをターゲットテーブルにロードします。

AWS Database Migration Service では、データマスキングの変換ルールアクションに 3 つのオプションを提供しています。

これらのデータマスキング変換ルールアクションは、他の変換ルールと同様に、レプリケーションタスクのテーブルマッピングで設定できます。ルールターゲットは列レベルに設定する必要があります。

マスキング文字を使用して列データの数値をマスキングする

「データマスキング: 数字マスク」変換ルールアクションでは、数字を指定した 1 つの ASCII 印刷可能文字 (空の文字または空白文字を除く) に置き換えることで、1 つ以上の列の数値データをマスクできます。

customer_master テーブルの cust_passport_no 列内のすべての桁をマスキング文字 '#' でマスクし、マスクされたデータをターゲットテーブルにロードする例を次に示します。

                {
    "rules": [
        {
            "rule-type": "selection",
            "rule-id": "1",
            "rule-name": "1",
            "object-locator": {
                "schema-name": "cust_schema",
                "table-name": "%"
            },
            "rule-action": "include"
        },
        {
            "rule-type": "transformation",
            "rule-id": "2",
            "rule-name": "2",
            "rule-target": "column",
            "object-locator": {
                "schema-name": "cust_schema",
                "table-name": "customer_master",
                "column-name": "cust_passport_no"
            },
            "rule-action": "data-masking-digits-mask",
            "value": "#"
        }
    ]
}
            

例えば、ソーステーブルの列 cust_passport_no にレコード「C6BGJ566669K」が含まれている場合、AWS DMS タスクはこのデータをターゲットテーブルに "C#BGJ######K" として書き込みます。

列内の数字を乱数に置き換える

変換ルール「データマスキング: 数字のランダム化」では、1 つ以上の列の各数値を乱数に置き換えることができます。次の例では、AWS DMS はソーステーブルの cust_passport_no 列のすべての桁を乱数に置き換え、変更されたデータをターゲットテーブル customer_master に書き込みます。

            {
    "rules": [
        {
            "rule-type": "selection",
            "rule-id": "1",
            "rule-name": "1",
            "object-locator": {
                "schema-name": "cust_schema",
                "table-name": "%"
            },
            "rule-action": "include"
        },
        {
            "rule-type": "transformation",
            "rule-id": "2",
            "rule-name": "2",
            "rule-target": "column",
            "object-locator": {
                "schema-name": "cust_schema",
                "table-name": "customer_master",
                "column-name": "cust_passport_no"
            },
            "rule-action": "data-masking-digits-randomize"
        }
    ]
}
            

例えば、AWS DMS タスクはソーステーブルの cust_passport_no 列の値 "C6BGJ566669K" を "C1BGJ842170K" に変換し、ターゲットデータベースに書き込みます。

列データをハッシュ値に置き換える

変換ルール「データマスキング: ハッシュマスク」では、列データを SHA256 アルゴリズムを使用して生成されたハッシュに置き換えることができます。ハッシュの長さは常に 64 文字です。したがって、ターゲットテーブルの列の長さは 64 文字以上とする必要があります。または、change-data-type 変換ルールアクションを列に追加して、ターゲットテーブルの列の幅を拡大することもできます。

次の例では、ソーステーブル customer_master の cust_passport_no 列のデータに長さ 64 文字のハッシュ値を生成し、列の長さを拡大した後、変換されたデータをターゲットテーブルにロードします。

{
"rules": [
{
"rule-type": "selection",
"rule-id": "1",
"rule-name": "1",
"object-locator": {
"schema-name": "cust_schema",
"table-name": "%"
},
"rule-action": "include"
},
{
"rule-type": "transformation",
"rule-id": "2",
"rule-name": "2",
"rule-target": "column",
"object-locator": {
"schema-name": "cust_schema",
"table-name": "customer_master",
"column-name": "cust_passport_no"
},
"rule-action": "change-data-type",
"data-type": {
"type": "string",
"length": "100",
"scale": ""
}
},
{
"rule-type": "transformation",
"rule-id": "3",
"rule-name": "3",
"rule-target": "column",
"object-locator": {
"schema-name": "cust_schema",
"table-name": "customer_master",
"column-name": "cust_passport_no"
},
"rule-action": "data-masking-hash-mask"
}
]
}
        

例えば、ソーステーブルの cust_passport_no 列に値 “C6BGJ566669K” が含まれている場合、AWS DMS タスクはターゲットテーブルにハッシュ値 “7CB06784764C9030CCC41E25C15339FEB293FFE9B329A72B5FED564E99900C75” を書き込みます。

制限