包含 PII 的客户数据存储在 Amazon Redshift 中。不同的团队需要不同级别的访问权限：市场营销团队需要混淆的索赔详情，但需要完整的联系信息；索赔团队需要他们处理的每项索赔的客户信息；分析团队只需要混淆的 PII。哪种方法能够以最少的管理开销强制执行这些访问规则？

正确答案是为每个团队创建一个独特的 Amazon Redshift 数据库角色，为每个团队定义掩码策略，并将适当的掩码策略附加到每个角色。Amazon Redshift 支持行级安全和列级安全，可以通过创建视图或使用数据掩码策略来实现。数据掩码策略是管理访问权限最有效的方法，因为它允许在不复制数据或创建多个视图的情况下，根据用户角色动态地混淆或隐藏敏感数据，从而显著降低管理开销。 其他选项的缺点： 为每个团队预置单独的 Redshift 集群会带来巨大的管理开销和成本，因为需要维护多个集群和数据同步。 创建数据库视图虽然可行，但对于每个团队和每个用例都需要创建和管理多个视图，随着需求的增加，管理复杂性会迅速上升。 将数据移动到 S3 并使用 AWS Lake Formation 是一种强大的数据湖解决方案，但对于已存储在 Redshift 中的数据，将其迁移到 S3 并重新构建数据湖会带来额外的迁移成本和复杂性，并且对于仅在 Redshift 内部管理访问权限而言，可能过于复杂。