MySQLのビューを利用して個人情報をマスキングした調査環境を実装して運用してみた話

皆さんこんにちは。
現在請求管理ロボ開発チームで活動している塚本です。

去年までSREチームの方で運用改善やインフラ周りを担当していました。
その際に着手した「個人情報をマスキングした調査環境を整える件」を実装するまでの道のりと、その後どうなったか振り返っていきたいと思います。

今回、個人情報をマスキングした環境を作るということで、技術選定から始めていきましたが、運用コストや学習コストなどを加味してMySQLのビューを利用することになりました。

その時に比較した他の方法はこちら。

AWS DMSを使う方法
AWSのサービスであるDMSを利用してクローン/リードレプリカに対してマスキング・データ連携する方法。
MySQLをそのまま流用できるが、頻繁に連携が必要なので、料金がかさんでしまうのが懸念。

DataSunriseを使う方法
DataSunrise はサードパーティの製品で、DBからのデータをマスクするプロキシのようなもの。
DB保護に関する機能が充実していて便利だが、DataSunriseをEC2上で動かしているので、そのメンテナンスがコストになりそう。あと料金がお高い。

Amazon Redshift Serverlessを使う方法
クラスタを立てるよりは安いが、ポスグレベースのクエリを使うため、使用者の学習コストが懸念される。

これらに比べてMySQLのビューは
- インスタンス内で完結するためAWSリソースの運用コストがかからない
- 実装の手軽さ
- 使用者の学習コスト - 金銭的なコスト
- 他のサービスはサービス停止した際にマスキングが剥がれる可能性が高い

などが利点として上回ったため、MySQLのビューを利用することになりました。

ビューとは既存のテーブルを元に作られる仮想のテーブルです。

CREATE VIEW ステートメントを利用してビューを定義します。
ref: https://dev.mysql.com/doc/refman/8.0/ja/create-view.html

例）
- prodDBのuserテーブルを元に、prod_viewDBにビュー（テーブル名はuser）を作成する
- userテーブルのカラムはuser_id、user_nameで、user_nameのみを「*****」という文字列でマスキングする

create view prod_view.user as select user_id, '*****' as user_name from prod.user;

ADD文が無いので、追加するカラム以外も全て再定義する必要がある

これはできない

  ALTER VIEW prod_view.user ADD user_category

追加したい時

  ALTER prod_view.user as select user_id, '*****' as user_name, user_category  from prod.user;

DBのGUIクライアントツールによっては、SELECT権限だけでは足りない時がある。
- SHOW VIEW権限もDBユーザーにつけてあげる必要がある
  - https://dev.mysql.com/doc/refman/8.0/ja/show-create-view.html
- Sequel Ace（https://sequel-ace.com）などで発生。原因としては、Sequel AceがSHOW VIEWステートメントを利用してDB定義を取ってこようとしていることみたいでした。
EXPLAINの実行にはビューの元になっているテーブルの参照権限が必要そう
- ttps://dev.mysql.com/doc/refman/8.0/ja/privileges-provided.html