Le RLS (Role-Based Access Control) est une méthode de contrôle d’accès aux données conçue pour limiter les lignes qu’un utilisateur, un rôle ou un groupe peut extraire d’une table de base de données, en fonction de conditions liées à l’identité, au rôle ou aux attributs contextuels du demandeur. Contrairement aux autorisations au niveau de la table, le RLS permet d’appliquer des restrictions d’accès au niveau de chaque enregistrement, ce qui permet à différents utilisateurs interrogeant la même table de recevoir des sous-ensembles de lignes différents en fonction de leur autorisation. Cette fonctionnalité peut s’avérer essentielle pour l’isolation des données sur les plateformes partagées, dans les environnements multi-locataires et pour les charges de travail impliquant des données réglementées.

La sécurité au niveau des lignes (RLS) est conçue pour limiter les enregistrements qu’un utilisateur peut extraire d’une table, en filtrant les résultats en fonction de son identité ou de son rôle. La sécurité au niveau des colonnes (masquage des données) permet de limiter les champs de ces enregistrements que l’utilisateur peut voir, en masquant ou en expurgant les valeurs sensibles pour les utilisateurs non autorisés. Ces deux mécanismes sont complémentaires : la RLS permet de contrôler l’accès au niveau des enregistrements, tandis que la sécurité au niveau des colonnes permet de contrôler la visibilité au niveau des champs au sein des enregistrements auxquels l’utilisateur est autorisé à accéder. De nombreuses organisations appliquent ces deux mécanismes simultanément afin d’assurer une protection des données à plusieurs niveaux dans les environnements réglementés.

Snowflake propose la fonctionnalité RLS via les politiques d’accès aux lignes (RAP) — des objets au niveau du schéma disponibles dans l’édition Enterprise ou supérieure. Chaque RAP définit une expression booléenne ; au moment de la requête, Snowflake encapsule l’objet protégé dans une vue sécurisée dynamique, évalue le corps de la politique et ne renvoie que les lignes pour lesquelles l’expression est VRAIE. Les RAP s’s’exécutent avec le rôle du propriétaire de la politique, et non avec celui de l’utilisateur qui effectue la requête, ce qui contribue à empêcher l’escalade des privilèges. Les RAP sont réutilisables sur plusieurs tables et s’associent au masquage dynamique des données pour assurer une protection simultanée au niveau des lignes et des colonnes d’une même table.

Les mécanismes RLS natifs sont généralement efficaces au sein de leurs plateformes respectives, mais peuvent entraîner une fragmentation des politiques dans les environnements comportant plusieurs bases de données. Chaque base de données nécessite sa propre configuration et sa propre maintenance en matière de politiques. Les approches basées sur des vues sécurisées entraînent des pertes de performances au niveau de l’optimisation des requêtes. Les mappages « rôle-ligne » doivent rester synchronisés avec les modifications apportées par le fournisseur d’identité. Dans les environnements comportant plusieurs bases de données ou un grand nombre de rôles, la gestion cohérente du RLS natif à l’échelle de la pile de données peut s’avérer complexe sur le plan opérationnel.

Les fonctionnalités de sécurité des données et de l’IA de Commvault permettent d’assurer une application centralisée des règles RLS (Role-Based Access Control) sur plusieurs magasins de données — notamment les entrepôts de données dans le cloud, les bases de données sur site et les lacs de données —“ à partir d’une couche de politiques unique. Les politiques au niveau des lignes utilisent les attributs d’identité provenant de fournisseurs d’identité connectés tels qu’Okta, ce qui permet de prendre des décisions d’accès dynamiques, basées sur les attributs, sans nécessiter de synchronisation des rôles au niveau de la base de données. Les politiques s’appliquent de manière cohérente sur l’ensemble des plateformes de données de l’environnement, avec une journalisation des événements d’accès et une classification automatique permettant d’identifier les lignes contenant des données sensibles.

Le RGPD, la loi HIPAA, le CCPA et la norme PCI DSS exigent la mise en place de contrôles vérifiables permettant de déterminer quels utilisateurs peuvent accéder aux données à caractère personnel, aux dossiers médicaux et aux informations financières. RLS est conçu pour faciliter directement la mise en conformité en aidant à faire respecter les restrictions d’au moment de la requête : ainsi, les utilisateurs non autorisés ne reçoivent pas les données auxquelles ils ne devraient pas avoir accès, et ce de manière automatique, sans avoir à recourir à des filtres de requête appliqués par l’utilisateur. Des journaux d’audit complets des événements d’accès permettent de savoir qui a consulté quelles données et à quel moment, ce qui facilite la fourniture des preuves requises par les auditeurs et réduit la charge de travail liée aux rapports de conformité.