配置访问、行级过滤与脱敏策略

访问策略定义哪些访问者能够访问哪些数据，以及访问时如何过滤或脱敏。它针对数据值的访问控制，与手册门户权限、资产目录浏览权限不同。

选择策略类型

类型	用途
访问策略	允许或限制访问指定数据范围
行级访问策略	在可访问表中限定记录范围
表脱敏策略	从表或视图出发，为字段设置脱敏规则及访问者
字段脱敏策略	从字段出发，为不同访问者配置脱敏规则

先准备策略目录，填写名称和描述；目录内有策略时不能直接按空目录处理删除。

使用前准备

确定本次控制的数据对象、需要约束的访问者及其业务用途。行级限制需要明确字段与取值，脱敏需要先准备可用的脱敏规则。账号、用户组和机构来自组织管理，策略所需对象来自已采集元数据。

实施时先在已获准的小范围内验证，再扩大到完整对象或人员范围。尤其要区分“拒绝某些对象”和“允许排除某些对象后的剩余范围”，两者不能互相替代。

创建访问策略

1. 进入数据安全的“安全策略 → 访问策略”，选择“新建 → 访问策略”。
2. 填写策略名称、描述及目录，按业务要求设置访问有效期。
3. 在访问数据配置中选择执行动作、访问动作和数据范围。
4. 核对范围模式：“包含”仅限所选对象，“不包含”为排除所选对象后的范围，“全部”为相应来源下全部对象。
5. 在访问者配置中选择用户、用户组或机构，按需要设置黑名单以剔除白名单中的部分用户。
6. 确定后查看最终生效范围，并以目标访问者验证。

执行动作与数据范围应共同核对，不能只检查策略名称。

图为实际表单中的访问数据配置，尚未选定采集范围，不能直接作为已生效策略。

设置	如何填写与检查
策略名称、目录	为必填项；名称用于识别用途，目录用于组织策略
访问有效期	页面说明仅允许访问策略可设置，到期后自动收回；清空表示永久。按审批的授权期限填写，不直接沿用空值
数据执行动作	当前表单提供 SELECT、INSERT、UPDATE、DELETE，按获准操作选择；不要把查询权限扩大为写入权限
数据访问动作	选择“允许”或“拒绝”，与执行动作和对象范围一起核对
采集名称	先选正确采集，再核对下方数据源、表/视图和字段范围
范围模式	各层级分别检查“全部”“包含”“不包含”，不把默认“全部”当作已确认范围
访问者	按用户、用户组或组织机构配置；设置黑名单时核对从白名单剔除后的实际人员

访问有效期是此访问策略的设置，不是数据市场申请单自动完成交付或回收线下权限的证明。到期行为还需由管理员在实际访问链路验证。

创建行级访问策略

1. 选择“新建 → 行级访问策略”，填写基本信息。
2. 添加表或视图，再添加访问者。
3. 在该访问者的行级数据中单击“添加”。
4. 填写条件组，检查系统拼接出的 SQL 条件。
5. 确定后用该访问者查询已知样本，检查应可见与应不可见记录。

在条件弹窗中通过字段、比较关系和比较值定义条件。页面提供相应控件时，可新增条件组或增删单条条件。图中字段、地点和“数据行数限制”的数值均为示例，不是默认值。

在弹窗单击“添加”后，先检查访问者列表中显示的 SQL 条件，再完成整个策略。一个访问者的条件不能自动代表其他用户、用户组或机构的条件；多个条件存在时，要检查组合逻辑是否与业务要求一致。

创建表脱敏策略

1. 选择“新建 → 表脱敏策略”，填写基本信息。
2. 添加表或视图，检查展开的字段列表。
3. 对需脱敏字段添加脱敏规则。
4. 进入访问者配置，选择规则适用的用户、用户组或机构。
5. 确定后检查目标字段及未选择字段的结果。

创建字段脱敏策略

1. 选择“新建 → 字段脱敏策略”，填写基本信息。
2. 添加字段及访问者。
3. 在各访问者对应行中添加脱敏规则。
4. 确定后核对同一字段在不同用户下的处理结果。

验证与维护

策略列表可按名称搜索，通过查看检查最终范围和脱敏内容，编辑时逐步核对回显设置。策略生效还需实际访问链路配合，按网关验证使用对应账号检查；仅在管理页保存不代表客户端已正确接入。

存在多条重叠策略时，应使用目标账号及实际查询验证最终效果，不自行假设统一的优先级顺序。删除或调整前记录原范围与受影响访问者。

现象	核对顺序
策略已保存但查询仍未受限	实际是否经过网关 → 使用的身份 → 目标对象是否在策略范围 → 执行动作和允许/拒绝
某用户的结果与同组人员不同	用户、用户组和机构范围 → 黑名单 → 其他重叠策略
行级结果全部为空	条件字段、比较值和组合逻辑 → 源数据是否有符合条件记录 → 查询范围
只对部分字段脱敏	策略类型 → 选定字段 → 对应脱敏规则 → 当前访问者
到期后行为不符合预期	是否为允许策略 → 有效期实际值 → 访问链路与策略处理日志