La RLS est une méthode de contrôle d’accès aux données conçue pour limiter les lignes qu’un utilisateur, un rôle ou un groupe peut extraire d’une table de base de données, en fonction de conditions liées à l’identité, au rôle ou aux attributs contextuels du demandeur. Contrairement aux autorisations au niveau de la table, la RLS permet d’appliquer des restrictions d’accès au niveau de chaque enregistrement, ce qui permet à différents utilisateurs interrogeant la même table de recevoir des sous-ensembles de lignes différents en fonction de leur autorisation. Elle peut constituer une fonctionnalité essentielle pour l’isolation des données sur les plateformes partagées, dans les environnements multi-locataires et pour les charges de travail impliquant des données réglementées.

La sécurité au niveau des lignes est conçue pour restreindre les enregistrements qu’un utilisateur peut extraire d’une table, en filtrant les résultats en fonction de son identité ou de son rôle. La sécurité au niveau des colonnes (masquage des données) permet de limiter les champs de ces enregistrements que l’utilisateur peut voir, en masquant ou en caviardant les valeurs sensibles pour les utilisateurs non autorisés. Ces deux mécanismes sont complémentaires : le RLS permet de contrôler l’accès au niveau des enregistrements, tandis que la sécurité au niveau des colonnes permet de contrôler la visibilité au niveau des champs au sein des enregistrements auxquels l’utilisateur est autorisé à accéder. De nombreuses organisations appliquent les deux simultanément pour assurer une protection des données à plusieurs niveaux dans les environnements réglementés.

Snowflake fournit le RLS via les politiques d’accès aux lignes (RAP) – des objets au niveau du schéma disponibles dans l’édition Enterprise ou supérieure. Chaque RAP définit une expression booléenne ; au moment de la requête, Snowflake encapsule l’objet protégé dans une vue sécurisée dynamique, évalue le corps de la politique et ne renvoie que les lignes pour lesquelles l’expression est VRAIE. Les RAP s’exécutent avec le rôle du propriétaire de la politique, et non avec celui de l’utilisateur effectuant la requête, ce qui contribue à empêcher l’escalade des privilèges. Les RAP sont réutilisables sur plusieurs tables et s’associent au masquage dynamique des données pour assurer une protection simultanée au niveau des lignes et des colonnes sur une même table.

Les mécanismes RLS natifs sont généralement efficaces au sein de leurs plateformes respectives, mais peuvent entraîner une fragmentation des politiques dans les environnements comportant plusieurs magasins de données. Chaque magasin de données nécessite sa propre configuration et sa propre gestion des politiques. Les approches par vues sécurisées entraînent des pertes de performances lors de l’optimisation des requêtes. Les mappages « rôle-ligne » doivent rester synchronisés avec les modifications apportées par le fournisseur d’identité. Dans les environnements comportant plusieurs magasins de données ou un grand nombre de rôles, le RLS natif peut devenir complexe à gérer de manière cohérente à travers toute la pile de données.

Les capacités de sécurité des données et d’IA de Commvault permettent d’assurer une application centralisée du RLS sur plusieurs magasins de données – y compris les entrepôts de données cloud, les bases de données sur site et les lacs de données – à partir d’une couche de politiques unique. Les politiques au niveau des lignes utilisent les attributs d’identité provenant de fournisseurs d’identité connectés tels qu’Okta, ce qui permet de prendre des décisions d’accès dynamiques et basées sur les attributs sans nécessiter de synchronisation des rôles de base de données. Les politiques s’appliquent de manière cohérente sur l’ensemble des plateformes de données de l’environnement, avec une journalisation des événements d’accès et une classification automatique permettant d’identifier les lignes contenant des données sensibles.

Le RGPD, la loi HIPAA, le CCPA et la norme PCI DSS exigent des contrôles vérifiables permettant de déterminer quels utilisateurs peuvent accéder aux dossiers personnels, médicaux et financiers. Le RLS est conçu pour soutenir directement la conformité en contribuant à faire respecter les restrictions d’accès au moment de la requête – afin que les utilisateurs non autorisés ne reçoivent pas les enregistrements auxquels ils ne devraient pas avoir accès, de manière automatique et sans dépendre des filtres de requête appliqués par l’utilisateur. Des journaux d’audit complets des événements d’accès permettent de savoir qui a consulté quelles données et à quel moment, afin de fournir les preuves requises par les auditeurs et de réduire la charge de travail liée aux rapports de conformité.