一家公司在 AWS Lake Formation 数据湖中存储客户地址表。新法规禁止用户访问加拿大客户的行。哪种方法可以防止用户看到 country = Canada 的行，同时管理工作量最少？

正确的答案是设置行级过滤器，以防止用户访问 country 为 Canada 的行。AWS Lake Formation 的行级安全性功能允许您根据特定条件（例如 country = 'Canada'）过滤数据，从而精确控制用户可以访问的行。这直接满足了法规要求，并且是管理工作量最少的方法，因为您只需定义一次过滤器。 创建 IAM 角色来限制访问是行不通的，因为 IAM 策略通常在表或数据库级别操作，无法提供细粒度的行级控制。设置列级过滤器是错误的，因为这会隐藏整个列，而不是特定行的内容。对所有 country = Canada 的行应用标签并阻止用户访问这些标签的行，虽然理论上可行，但会增加数据管理和查询的复杂性，并且不如 Lake Formation 原生的行级过滤器高效和直接。