カテゴリ：

コンテキスト関数 （セッションオブジェクト）

IS_ROLE_IN_SESSION

引数の値（つまり、ロール）が、セッションのユーザーのアクティブなプライマリまたはセカンダリロール階層にあるかどうか、または指定された列に、セッションのユーザーのアクティブなプライマリまたはセカンダリロール階層にあるロールが含まれているかどうかを確認します。

入力

ロールを直接指定する文字列リテラル、または列名を指定する非リテラル。

戻り値

  • TRUE:

    • 文字列リテラル引数の場合、セッション内にある現在のユーザーのアクティブな プライマリロールまたはセカンダリロール は、指定されたロールの権限を継承します。

      DEFAULT_SECONDARY_ROLES 値が ALL の場合は、ユーザーに付与された いずれかの ロールが指定されたロールの権限を継承します。

      指定されたロールは、現在のプライマリロールまたはセカンダリロール（つまり、それぞれ CURRENT_ROLE または CURRENT_SECONDARY_ROLES によって返されるロール）、またはロール階層の下位にある任意のロールにすることができます。

    • 非リテラル引数の場合、Snowflakeは各行を評価し、ユーザーの現在のセッションでアクティブなプライマリまたはセカンダリロールを指定する値を含む行を返します。各行は、アクティブなプライマまたはセカンダリロールが表示できるロール名に対応しています。

  • FALSE:

    • 文字列リテラル引数の場合、指定されたロールは、現在のプライマリまたはセカンダリロールのロール階層において上位にあるか、ロール階層にまったくないかのどちらかです。

    • 非リテラル引数の場合、Snowflakeは各行を評価します。行に含まれるロール名が、現在のプライマリまたはセカンダリロールのロール階層で上位にあるか、ロール階層にまったくない場合、Snowflakeはこの行を返しません。この場合、Snowflakeは、アクティブなプライマリまたはセカンダリロールが表示できるロール名（存在する場合）を含む行のみを返します。

  • NULL:

    • データ共有コンシューマーアカウントでは、この関数は、マスキングポリシー条件などで共有オブジェクト（例: セキュア UDF またはセキュアビュー）を参照する場合に NULL を返します。この動作により、データ共有コンシューマーアカウントでロール階層が公開されなくなります。

こちらもご参照ください。

IS_OBJECT、 高度な列レベルのセキュリティトピック

構文

リテラル: ロールを直接指定:

IS_ROLE_IN_SESSION( '<string_literal>' )

非リテラル: 列を指定:

IS_ROLE_IN_SESSION( <column_name> )

引数

'string_literal'

ロールの名前。

column_name

テーブルまたはビューの列名。

使用上の注意

  • 構文を1つ使用します。

  • 行アクセスポリシー または 列レベルのセキュリティ でこの関数を使用する場合は、SnowflakeアカウントがEnterprise Edition以上であることを確認してください。

    ポリシー条件でロール階層と継承された権限を評価する必要がある場合、Snowflakeはこの関数を使用することをお勧めします。

  • マテリアライズドビュー定義では関数を使用できません。関数が決定論的ではなく、Snowflakeは具体化するデータを決定できないためです。

  • リテラル構文:

    • 引数として渡すことができるロール名は1つだけです。

    • 引数は大文字の文字列にする必要があります。

  • 非リテラル構文:

    • 引数として渡すことができる列は1つだけです。

    • 列には STRING データ型が必要です。

    • 列を次のいずれかとして指定します。

      • column_name

      • table_name.column_name

      • schema_name.table_name.column_name

      • database_name.schema_name.table_name.column_name

  • 仮想列:

    テーブルに格納されている計算値ではなく、式から計算された値の結果を含む仮想列はサポート されていません。

    select is_role_in_session(upper(authz_role)) from t1;

    仮想列は、式に列名のエイリアスがある場合にのみサポートされます。

    create view v2 as
select
  authz_role,
  upper(authz_role) as upper_authz_role
from t2;

select is_role_in_session(upper_auth_role);

例

指定されたロールに付与された権限が、セッション内の現在のロールに継承されているかどうかを確認します。

select is_role_in_session('ANALYST');

+-------------------------------+
| IS_ROLE_IN_SESSION('ANALYST') |
|-------------------------------|
| True                          |
+-------------------------------+

role_name という名前の列のアクティブなプライマリまたはセカンダリロールの値を返します。

select *
from myb.s1.t1
where is_role_in_session(t1.role_name);

マスキングポリシー条件でロールを直接指定します。

create or replace masking policy allow_analyst as (val string)
returns string ->
case
  when is_role_in_session('ANALYST') then val
  else '*******'
end;

行アクセスポリシーで AUTHZ_ROLE という名前の列（つまり、承認されたロール）を指定し、テーブル列にポリシーを設定します。

ポリシーを作成します。

create or replace row access policy rap_authz_role as (authz_role string)
returns boolean ->
is_role_in_session(authz_role);

ポリシーをテーブルに追加します。

alter table allowed_roles
  add row access policy rap_authz_role on (authz_role);

マッピングテーブルを使用する行アクセスポリシーで AUTHZ_ROLE という名前の列を指定し、 ROLE_NAME という名前のマッピングテーブル列で承認されたロールを検索します。ポリシーを作成したら、 AUTHZ_ROLE 列を含むテーブルにポリシーを追加します。

ポリシーを作成します。

create or replace row access policy rap_authz_role_map as (authz_role string)
returns boolean ->
exists (
  select 1 from mapping_table m
  where authz_role = m.key and is_role_in_session(m.role_name)
);

ポリシーをテーブルに追加します。

alter table allowed_roles
  add row access policy rap_authz_role_map on (authz_role);
⇧
最上部に戻る