SQL Server 2014 自習書シリーズ （HTML 版）
「No.5 Microsoft Azure SQL Database 入門」

2.21　動的データ マスク（プレビュー版）を利用する

Azure SQL Database は、V12（Version 12）では、動的データ マスク（Dynamic Data Masking）機能を利用することができます（執筆時点：2015年1月時点ではプレビュー版）。これも、行レベル セキュリティ機能と同様、SQL Server 2014 にはまだ実装されていない機能です（将来のバージョンの SQL Server で搭載される予定）。

動的データ マスクを利用すれば、次のようにデータをマスクすることができるようになり、セキュリティ強化を実現できるようになります（メールアドレスやクレジット カード番号などの顧客情報をマスクしておけば、情報流出を抑えることができるようになります）。

動的データ マスクは、次のように［データベースの構成］ブレードで、「動的データ マスク」をクリックすることで設定することができます。

［動的データ マスク］ブレードでは、［動的データ マスク］で「有効」を選択、［特権のあるログイン］で任意の特権ユーザー（画面は matumoto）を入力します（ここで入力したユーザーは、マスクに関係なく元のデータを参照できるユーザーになります。複数のユーザーがいる場合には、; セミコロンで区切って指定することができます）。

次に、［マスクの追加］をクリックして、どのようなマスクにするのかを設定していきます。

［マスクの種類］で「テーブルと列」を選択することで、テーブルの列に対して、マスクを設定できるようになります。［テーブル］には、マスクを設定したいテーブル名（画面は t1）、［列］には、マスクを設定したい列の名前（（画面は c）を入力して、［マスク方法の選択］でどのようにマスクを設定するのかを選択します。画面では、「ユーザー設定の文字列」を選択して、［公開されたプレフィックス］で「2」と入力していますが、これによって、次のように「t1」テーブルの「c」列のデータを、先頭（プレフィックス）の 2文字だけ公開（伏せずに）して、残りをマスクする（既定では X でパディングする）ように設定できます。

そのほかに設定できるマスク ルールには、次のものがあります。

マスクのルールを設定した後、［保存］ボタンをクリックすれば、マスクの設定が完了です。

設定後は、［特権のあるログイン］で設定したユーザーからは、元のデータ（マスクする前のデータ）を参照することができ、その他のユーザーからは、マスクされたデータしか参照できないようになります。ただし、ユーザーがログインするときには、後述の「監査」機能と同様、Azure SQL Database の SQL サーバーに接続するときの名前に、「.secure」を付けたものを指定する必要があります（サーバー名.database.windows.net を サーバー名.database.secure.windows.net に変更する必要があります）。

その他、動的データ マスクに関する最新情報は、次のページが参考になると思います。

Get started with SQL Database Dynamic Data Masking
http://azure.microsoft.com/en-us/documentation/articles/sql-database-dynamic-data-masking-get-started/