您将部署一个 Azure SQL Database，它将存储个人身份信息 (PII)。您必须确保只有特权用户才能查看 PII 值，同时最大限度地降低操作复杂性。您应该包含哪种功能？

动态数据掩码（Dynamic Data Masking, DDM）是正确选项，因为它允许您在不更改应用程序的情况下，通过模糊处理敏感数据来限制非特权用户对敏感数据的暴露。这满足了只有特权用户才能查看PII值的要求，同时最大限度地降低了操作复杂性。 角色基于访问控制（RBAC）用于管理谁可以访问Azure资源以及他们可以执行的操作，而不是掩盖数据库中的实际数据。数据发现与分类（Data Discovery & Classification）用于识别和标记敏感数据，但它本身不提供数据保护机制。透明数据加密（TDE）对静态数据进行加密，保护数据免受脱机存储访问的威胁，但它不会限制已授权访问数据库的用户查看未加密的PII值。