アクセス履歴¶

読む¶

読み取りクエリと、 ACCESS_HISTORY ビューがこの情報を記録する方法を理解するには、次のシナリオを検討してください。

• 一連のオブジェクト: base_table » view_1 » view_2 » view_3。

• 次のような view_2 の読み取りクエリ:

  select * from view_2;
  

  Copy

この例では、Snowflakeは次を返します。

• direct_objects_accessed 列に view_2。クエリで view_2 が指定されているためです。

• base_objects_accessed 列に base_table。これが view_2 にあるデータの元ソースであるためです。

view_1 と view_3 は、 direct_objects_accessed と base_objects_accessed の列に含まれません。これらのビューはどちらもクエリに含まれておらず、 view_2 のデータのソースとして機能するベースオブジェクトではないためです。

書き込み¶

書き込み操作と、 ACCESS_HISTORY ビューがこの情報を記録する方法を理解するには、次のシナリオを検討してください。

• データソース: base_table

• データソース（つまり、 CTAS）からテーブルを作成します。

  create table table_1 as select * from base_table;
  

  Copy

この例では、Snowflakeは次を返します。

• テーブルは直接アクセスされ、データのソースであるため、 base_objects_accessed 列と direct_objects_accessed 列内の base_table。

• テーブルの作成時に書き込まれた列を含む objects_modified 列に table_1。

サポートされている操作¶

ACCESS_HISTORY ビューがサポートする読み取りおよび書き込み操作の詳細については、 ACCESS_HISTORY ビュー の使用上の注意セクションをご参照ください。

単一リクエストで複数のステートメント¶

Snowflakeは複数のステートメントを同時に単一リクエストとして実行することをサポートしています。アクセス履歴でリクエストをどのように追跡するかは、リクエストが Snowsight で実行されたか、プログラムで実行されたかによって異なります。

• Snowsight を使用して複数のステートメントを実行すると、クエリが1つずつ実行され、最後に実行されたクエリの query_id が返されます。実行されたすべてのステートメントとその戻り値は、 ACCESS_HISTORY ビューで確認できます。

• Snowflake PythonコネクタやSnowflake SQL API のような機能は、複数の SQL ステートメントを単一リクエストにまとめ、すべてのステートメントに対して単一の query_id を返します。この番号は、実際には個々のステートメントすべての親クエリIDです。リクエストを構成する各ステートメントの query_id を返すには、 parent_query_id を使用して ACCESS_HISTORY ビューをクエリする必要があります。例えば、リクエストが query_id = 6789 を返した場合、以下を実行することで個々のステートメントのクエリIDを返すことができます。

  SELECT query_id, parent_query_id, direct_objects_accessed
  FROM snowflake.account_usage.access_history
  WHERE parent_query_id = 6789;
  

  Copy

利点¶

Snowflakeのアクセス履歴には、読み取りおよび書き込み操作に関する次の利点があります。

データ検出:

未使用のデータを検出して、データをアーカイブするか削除するかを決定します。

機密データの移動状況を追跡する:

外部クラウドストレージの場所（例: Amazon S3バケット）からターゲットのSnowflakeテーブルへの、またはその逆のデータ移動を追跡します。

あるSnowflakeテーブルから異なるSnowflakeテーブルへの内部データの移動を追跡します。

機密データの移動をトレースした後、ポリシー（マスキング および 行アクセス）を適用してデータを保護し、 アクセス制御設定 を更新して、ステージへのアクセスをさらに規制します。テーブル、および タグ を設定して、機密データを含むステージ、テーブル、および列のコンプライアンス要件について追跡できるようにします。

データ検証:

レポート、ダッシュボード、およびチャートやグラフなどのデータ可視化製品の正確性と整合性は、データを元のソースまで追跡できるため、検証されます。

データスチュワードは、特定のテーブルまたはビューを削除または変更する前にユーザーに通知することもできます。

コンプライアンス監査:

GDPR や CCPA などのコンプライアンス規制を満たすために、テーブルまたはステージで書き込み操作を実行したSnowflakeユーザーを特定し、書き込み操作がいつ発生したかを特定します。

全体的なデータガバナンスを強化する:

ACCESS_HISTORY ビューは、アクセスされたデータ、データアクセスがいつ行われたか、およびアクセスされたデータがデータソースオブジェクトからデータターゲットオブジェクトにどのように移動したかを統一的に示します。

ユーザーのアクセス履歴を返す¶

最新のアクセスから開始して、ユーザーとクエリの開始時刻の順にユーザーアクセス履歴を返します。

SELECT user_name
       , query_id
       , query_start_time
       , direct_objects_accessed
       , base_objects_accessed
FROM access_history
ORDER BY 1, 3 desc
;

Copy

コンプライアンス監査を促進する¶

次の例は、コンプライアンス監査を容易にするために役立ちます。

• object_id 値を追加して、過去30日間に機密テーブルにアクセスしたユーザーを特定します。

  SELECT distinct user_name
  FROM access_history
       , lateral flatten(base_objects_accessed) f1
  WHERE f1.value:"objectId"::int=<fill_in_object_id>
  AND f1.value:"objectDomain"::string='Table'
  AND query_start_time >= dateadd('day', -30, current_timestamp())
  ;
  

  Copy

• 32998411400350 の object_id 値を使用して、過去30日間にアクセスがあった時期を特定します。

  SELECT query_id
         , query_start_time
  FROM access_history
       , lateral flatten(base_objects_accessed) f1
  WHERE f1.value:"objectId"::int=32998411400350
  AND f1.value:"objectDomain"::string='Table'
  AND query_start_time >= dateadd('day', -30, current_timestamp())
  ;
  

  Copy

• 32998411400350 の object_id 値を使用して、過去30日間にアクセスされた列を特定します。

  SELECT distinct f4.value AS column_name
  FROM access_history
       , lateral flatten(base_objects_accessed) f1
       , lateral flatten(f1.value) f2
       , lateral flatten(f2.value) f3
       , lateral flatten(f3.value) f4
  WHERE f1.value:"objectId"::int=32998411400350
  AND f1.value:"objectDomain"::string='Table'
  AND f4.key='columnName'
  ;
  

  Copy

ステージからテーブルにデータをロードする¶

外部クラウドストレージのデータファイルからターゲットテーブルの列に値のセットをロードします。

copy into table1(col1, col2)
from (select t.$1, t.$2 from @mystage1/data1.csv.gz);

Copy

direct_objects_accessed 列と base_objects_accessed 列は、外部の名前付きステージにアクセスしたことを指定します。

{
  "objectDomain": STAGE
  "objectName": "mystage1",
  "objectId": 1,
  "stageKind": "External Named"
}

Copy

objects_modified 列は、データがテーブルの2つの列に書き込まれたことを指定します。

{
  "columns": [
     {
       "columnName": "col1",
       "columnId": 1
     },
     {
       "columnName": "col2",
       "columnId": 2
     }
  ],
  "objectId": 1,
  "objectName": "TEST_DB.TEST_SCHEMA.TABLE1",
  "objectDomain": TABLE
}

Copy

テーブルからステージにデータをアンロードする¶

値のセットをSnowflakeテーブルからクラウドストレージにアンロードします。

copy into @mystage1/data1.csv
from table1;

Copy

direct_objects_accessed 列と base_objects_accessed 列は、アクセスされたテーブル列を指定します。

{
  "objectDomain": TABLE
  "objectName": "TEST_DB.TEST_SCHEMA.TABLE1",
  "objectId": 123,
  "columns": [
     {
       "columnName": "col1",
       "columnId": 1
     },
     {
       "columnName": "col2",
       "columnId": 2
     }
  ]
}

Copy

objects_modified 列は、アクセスされたデータが書き込まれたステージを指定します。

{
  "objectId": 1,
  "objectName": "mystage1",
  "objectDomain": STAGE,
  "stageKind": "External Named"
}

Copy

PUT コマンドを使用して、ローカルファイルをステージにアップロードする¶

データファイルを内部（つまり、Snowflake）ステージにコピーします。

put file:///tmp/data/mydata.csv @my_int_stage;

Copy

direct_objects_accessed 列と base_objects_accessed 列は、アクセスされたファイルへのローカルパスを指定します。

{
  "location": "file:///tmp/data/mydata.csv"
}

Copy

objects_modified 列は、アクセスされたデータが書き込まれたステージを指定します。

{
  "objectId": 1,
  "objectName": "my_int_stage",
  "objectDomain": STAGE,
  "stageKind": "Internal Named"
}

Copy

GET コマンドを使用して、ステージからローカルディレクトリにデータファイルを取得する¶

内部ステージからローカルマシン上のディレクトリにデータファイルを取得します。

get @%mytable file:///tmp/data/;

Copy

direct_objects_accessed 列と base_objects_accessed 列は、アクセスされたステージとローカルディレクトリを指定します。

{
  "objectDomain": Stage
  "objectName": "mytable",
  "objectId": 1,
  "stageKind": "Table"
}

Copy

objects_modified 列は、アクセスされたデータが書き込まれたディレクトリを指定します。

{
  "location": "file:///tmp/data/"
}

Copy

機密性の高いステージデータの動きの追跡¶

時系列で実行される一連のクエリを移動するときに、機密性の高いステージデータを追跡します。

次のコマンドを実行します。5つのステートメントがステージデータにアクセスすることに注意してください。したがって、ステージアクセスの ACCESS_HISTORY ビューをクエリする場合、結果セットには5行が含まれている必要があります。

use test_db.test_schema;
create or replace table T1(content variant);
insert into T1(content) select parse_json('{"name": "A", "id":1}');

-- T1 -> T6
insert into T6 select * from T1;

-- S1 -> T1
copy into T1 from @S1;

-- T1 -> T2
create table T2 as select content:"name" as name, content:"id" as id from T1;

-- T1 -> S2
copy into @S2 from T1;

-- S1 -> T3
create or replace table T3(customer_info variant);
copy into T3 from @S1;

-- T1 -> T4
create or replace table T4(name string, id string, address string);
insert into T4(name, id) select content:"name", content:"id" from T1;

-- T6 -> T7
create table T7 as select * from T6;

Copy

条件:

• T1、 T2 ... T7 は、テーブルの名前を指定します。

• S1 および S2 は、ステージの名前を指定します。

アクセス履歴をクエリし、ステージ S1 へのアクセスを決定します。

次のテーブルに、 direct_objects_accessed、 base_objects_accessed、および objects_modified 列のデータを示します。

direct_objects_accessed	base_objects_accessed	objects_modified
[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68611, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66566, "objectName": "TEST_DB.TEST_SCHEMA.T6" } ] Copy
[ { "objectDomain": "Stage", "objectId": 117, "objectName": "TEST_DB.TEST_SCHEMA.S1", "stageKind": "External Named" } ] Copy	[ { "objectDomain": "Stage", "objectId": 117, "objectName": "TEST_DB.TEST_SCHEMA.S1", "stageKind": "External Named" } ] Copy	[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy
[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68613, "columnName": "ID" }, { "columnId": 68612, "columnName": "NAME" } ], "objectDomain": "Table", "objectId": 66568, "objectName": "TEST_DB.TEST_SCHEMA.T2" } ] Copy
[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "objectDomain": "Stage", "objectId": 118, "objectName": "TEST_DB.TEST_SCHEMA.S2", "stageKind": "External Named" } ] Copy
[ { "objectDomain": "Stage", "objectId": 117, "objectName": "TEST_DB.TEST_SCHEMA.S1", "stageKind": "External Named" } ] Copy	[ { "objectDomain": "Stage", "objectId": 117, "objectName": "TEST_DB.TEST_SCHEMA.S1", "stageKind": "External Named" } ] Copy	[ { "columns": [ { "columnId": 68614, "columnName": "CUSTOMER_INFO" } ], "objectDomain": "Table", "objectId": 66570, "objectName": "TEST_DB.TEST_SCHEMA.T3" } ] Copy
[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68610, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66564, "objectName": "TEST_DB.TEST_SCHEMA.T1" } ] Copy	[ { "columns": [ { "columnId": 68615, "columnName": "NAME" }, { "columnId": 68616, "columnName": "ID" } ], "objectDomain": "Table", "objectId": 66572, "objectName": "TEST_DB.TEST_SCHEMA.T4" } ] Copy
[ { "columns": [ { "columnId": 68611, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66566, "objectName": "TEST_DB.TEST_SCHEMA.T6" } ] Copy	[ { "columns": [ { "columnId": 68611, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66566, "objectName": "TEST_DB.TEST_SCHEMA.T6" } ] Copy	[ { "columns": [ { "columnId": 68618, "columnName": "CONTENT" } ], "objectDomain": "Table", "objectId": 66574, "objectName": "TEST_DB.TEST_SCHEMA.T7" } ] Copy

クエリの例については、次の点に注意してください。

• 再帰共通テーブル式 を使用します。

• USING 句 ではなく JOIN 構造を使用します。

  with access_history_flatten as (
      select
          r.value:"objectId" as source_id,
          r.value:"objectName" as source_name,
          r.value:"objectDomain" as source_domain,
          w.value:"objectId" as target_id,
          w.value:"objectName" as target_name,
          w.value:"objectDomain" as target_domain,
          c.value:"columnName" as target_column,
          t.query_start_time as query_start_time
      from
          (select * from TEST_DB.ACCOUNT_USAGE.ACCESS_HISTORY) t,
          lateral flatten(input => t.BASE_OBJECTS_ACCESSED) r,
          lateral flatten(input => t.OBJECTS_MODIFIED) w,
          lateral flatten(input => w.value:"columns", outer => true) c
          ),
      sensitive_data_movements(path, target_id, target_name, target_domain, target_column, query_start_time)
      as
        -- Common Table Expression
        (
          -- Anchor Clause: Get the objects that access S1 directly
          select
              f.source_name || '-->' || f.target_name as path,
              f.target_id,
              f.target_name,
              f.target_domain,
              f.target_column,
              f.query_start_time
          from
              access_history_flatten f
          where
          f.source_domain = 'Stage'
          and f.source_name = 'TEST_DB.TEST_SCHEMA.S1'
          and f.query_start_time >= dateadd(day, -30, date_trunc(day, current_date))
          union all
          -- Recursive Clause: Recursively get all the objects that access S1 indirectly
          select sensitive_data_movements.path || '-->' || f.target_name as path, f.target_id, f.target_name, f.target_domain, f.target_column, f.query_start_time
            from
               access_history_flatten f
              join sensitive_data_movements
              on f.source_id = sensitive_data_movements.target_id
                  and f.source_domain = sensitive_data_movements.target_domain
                  and f.query_start_time >= sensitive_data_movements.query_start_time
        )
  select path, target_name, target_id, target_domain, array_agg(distinct target_column) as target_columns
  from sensitive_data_movements
  group by path, target_id, target_name, target_domain;
  

  Copy

クエリは、ステージ S1 のデータ移動に関連する次の結果セットを生成します。

PATH	TARGET_NAME	TARGET_ID	TARGET_DOMAIN	TARGET_COLUMNS
TEST_DB.TEST_SCHEMA.S1-->TEST_DB.TEST_SCHEMA.T1	TEST_DB.TEST_SCHEMA.T1	66564	テーブル	["CONTENT"]
TEST_DB.TEST_SCHEMA.S1-->TEST_DB.TEST_SCHEMA.T1-->TEST_DB.TEST_SCHEMA.S2	TEST_DB.TEST_SCHEMA.S2	118	ステージ	[]
TEST_DB.TEST_SCHEMA.S1-->TEST_DB.TEST_SCHEMA.T1-->TEST_DB.TEST_SCHEMA.T2	TEST_DB.TEST_SCHEMA.T2	66568	テーブル	["NAME","ID"]
TEST_DB.TEST_SCHEMA.S1-->TEST_DB.TEST_SCHEMA.T1-->TEST_DB.TEST_SCHEMA.T4	TEST_DB.TEST_SCHEMA.T4	66572	テーブル	["ID","NAME"]
TEST_DB.TEST_SCHEMA.S1-->TEST_DB.TEST_SCHEMA.T3	TEST_DB.TEST_SCHEMA.T3	66570	テーブル	["CUSTOMER_INFO"]

UDF を呼び出す¶

2つの数値の積を計算する次の SQL UDF を検討し、それが mydb.udfs という名前のスキーマに格納されていると仮定します。

CREATE FUNCTION MYDB.UDFS.GET_PRODUCT(num1 number, num2 number)
RETURNS number
AS
$$
    NUM1 * NUM2
$$
;

Copy

get_product を直接 呼び出す と、 UDF の詳細が direct_objects_accessed 列に記録されます。

[
  {
    "objectDomain": "FUNCTION",
    "objectName": "MYDB.UDFS.GET_PRODUCT",
    "objectId": "2",
    "argumentSignature": "(NUM1 NUMBER, NUM2 NUMBER)",
    "dataType": "NUMBER(38,0)"
  }
]

Copy

この例は、 ストアドプロシージャの呼び出し （このトピック内）に類似しています。

INSERT DML を使用した UDF¶

mydb.tables.t1 という名前のテーブルの1および2という名前の列を更新するために、次の INSERT ステートメントを検討してください。

insert into t1(product)
select get_product(c1, c2) from mydb.tables.t1;

Copy

ACCESS_HISTORY ビューは、 get_product 関数を次の場所に記録します。

• direct_objects_accessed 列。これは、 SQL ステートメントで明示的に関数の名前が付けられているため。また、

• directSources 配列にある objects_modified 列。これは、関数が列に挿入される値のソースであるため。

同様に、テーブル t1 は次の同じ列に記録されます。

direct_objects_accessed

objects_modified

[ { "objectDomain": "FUNCTION", "objectName": "MYDB.UDFS.GET_PRODUCT", "objectId": "2", "argumentSignature": "(NUM1 NUMBER, NUM2 NUMBER)", "dataType": "NUMBER(38,0)" }, { "objectDomain": "TABLE", "objectName": "MYDB.TABLES.T1", "objectId": 1, "columns": [ { "columnName": "c1", "columnId": 1 }, { "columnName": "c2", "columnId": 2 } ] } ] Copy

[ { "objectDomain": "TABLE", "objectName": "MYDB.TABLES.T1", "objectId": 2, "columns": [ { "columnId": "product", "columnName": "201", "directSourceColumns": [ { "objectDomain": "Table", "objectName": "MYDB.TABLES.T1", "objectId": "1", "columnName": "c1" }, { "objectDomain": "Table", "objectName": "MYDB.TABLES.T1", "objectId": "1", "columnName": "c2" }, { "objectDomain": "FUNCTION", "objectName": "MYDB.UDFS.GET_PRODUCT", "objectId": "2", "argumentSignature": "(NUM1 NUMBER, NUM2 NUMBER)", "dataType": "NUMBER(38,0)" } ], "baseSourceColumns":[] } ] } ] Copy

共有 UDFs¶

共有 UDFs は、直接または間接的に参照できます。

• 直接参照は、 UDF を明示的に呼び出す （このトピック内）ことと同じですが、 UDF が base_objects_accessed 列と direct_objects_accessed 列の両方に記録されます。

• 間接参照の例は、 UDF を呼び出してビューを作成することです。

  create view v as
  select get_product(c1, c2) as vc from t;
  

  Copy

  base_objects_accessed 列には、 UDF とテーブルが記録されます。

  direct_objects_accessed 列はビューを記録します。

ALLOWED_VALUES でタグを作成する¶

タグを作成します。

create tag governance.tags.pii allowed_values 'sensitive','public';

Copy

列の値:

{
  "objectDomain": "TAG",
  "objectName": "governance.tags.pii",
  "objectId": "1",
  "operationType": "CREATE",
  "properties": {
    "allowedValues": {
      "sensitive": {
        "subOperationType": "ADD"
      },
      "public": {
        "subOperationType": "ADD"
      }
    }
  }
}

Copy

タグおよびマスキングポリシーでテーブルを作成する¶

列にマスキングポリシー、列にタグ、テーブルにタグを付けてテーブルを作成します。

create or replace table hr.data.user_info(
  email string
    with masking policy governance.policies.email_mask
    with tag (governance.tags.pii = 'sensitive')
  )
with tag (governance.tags.pii = 'sensitive');

Copy

列の値:

{
  "objectDomain": "TABLE",
  "objectName": "hr.data.user_info",
  "objectId": "1",
  "operationType": "CREATE",
  "properties": {
    "tags": {
      "governance.tags.pii": {
        "subOperationType": "ADD",
        "objectId": {
          "value": "1"
        },
        "tagValue": {
          "value": "sensitive"
        }
      }
    },
    "columns": {
      "email": {
        objectId: {
          "value": 1
        },
        "subOperationType": "ADD",
        "tags": {
          "governance.tags.pii": {
            "subOperationType": "ADD",
            "objectId": {
              "value": "1"
            },
            "tagValue": {
              "value": "sensitive"
            }
          }
        },
        "maskingPolicies": {
          "governance.policies.email_mask": {
            "subOperationType": "ADD",
            "objectId": {
              "value": 2
            }
          }
        }
      }
    }
  }
}

Copy

タグにマスキングポリシーを設定する¶

タグにマスキングポリシーを設定します（例: タグベースのマスキング）。

alter tag governance.tags.pii set masking policy governance.policies.email_mask;

Copy

列の値:

{
  "objectDomain": "TAG",
  "objectName": "governance.tags.pii",
  "objectId": "1",
  "operationType": "ALTER",
  "properties": {
    "maskingPolicies": {
      "governance.policies.email_mask": {
        "subOperationType": "ADD",
        "objectId": {
          "value": 2
        }
      }
    }
  }
}

Copy

テーブルを入れ替える¶

t2 という名前のテーブルを t3 という名前のテーブルと入れ替えます。

alter table governance.tables.t2 swap with governance.tables.t3;

Copy

ビューの2つの異なる記録に注目してください。

記録1:

{
  "objectDomain": "Table",
  "objectId": 0,
  "objectName": "GOVERNANCE.TABLES.T2",
  "operationType": "ALTER",
  "properties": {
    "swapTargetDomain": {
      "value": "Table"
    },
    "swapTargetId": {
      "value": 0
    },
    "swapTargetName": {
      "value": "GOVERNANCE.TABLES.T3"
    }
  }
}

Copy

記録2:

{
  "objectDomain": "Table",
  "objectId": 0,
  "objectName": "GOVERNANCE.TABLES.T3",
  "operationType": "ALTER",
  "properties": {
    "swapTargetDomain": {
      "value": "Table"
    },
    "swapTargetId": {
      "value": 0
    },
    "swapTargetName": {
      "value": "GOVERNANCE.TABLES.T2"
    }
  }
}

Copy

マスキングポリシーをドロップする¶

マスキングポリシーをドロップします。

drop masking policy governance.policies.email_mask;

Copy

列の値:

{
  "objectDomain" : "MASKING_POLICY",
  "objectName": "governance.policies.email_mask",
  "objectId" : "1",
  "operationType": "DROP",
  "properties" : {}
}

Copy

注釈

列の値は代表的なもので、タグと行のアクセスポリシーに対する DROP 操作に適用されます。

properties フィールドは空の配列で、 DROP 操作前のポリシーに関する情報は提供されません。

列のタグ参照を追跡する¶

タグがどのように列に設定されているかをモニターするために、 object_modified_by_ddl 列をクエリします。

テーブル管理者として、列にタグを設定し、タグの設定を解除し、異なる文字列値でタグを更新します。

alter table hr.tables.empl_info
  alter column email set tag governance.tags.test_tag = 'test';

alter table hr.tables.empl_info
  alter column email unset tag governance.tags.test_tag;

alter table hr.tables.empl_info
  alter column email set tag governance.tags.data_category = 'sensitive';

Copy

データエンジニアとして、タグの値を変更します。

alter table hr.tables.empl_info
  alter column email set tag governance.tags.data_category = 'public';

Copy

ACCESS_HISTORY ビューをクエリして変更をモニターします。

select
  query_start_time,
  user_name,
  object_modified_by_ddl:"objectName"::string as table_name,
  'EMAIL' as column_name,
  tag_history.value:"subOperationType"::string as operation,
  tag_history.key as tag_name,
  nvl((tag_history.value:"tagValue"."value")::string, '') as value
from
  TEST_DB.ACCOUNT_USAGE.access_history ah,
  lateral flatten(input => ah.OBJECT_MODIFIED_BY_DDL:"properties"."columns"."EMAIL"."tags") tag_history
where true
  and object_modified_by_ddl:"objectDomain" = 'Table'
  and object_modified_by_ddl:"objectName" = 'TEST_DB.TEST_SH.T'
order by query_start_time asc;

Copy

戻り値:

+-----------------------------------+---------------+---------------------+-------------+-----------+-------------------------------+-----------+
| QUERY_START_TIME                  | USER_NAME     | TABLE_NAME          | COLUMN_NAME | OPERATION | TAG_NAME                      | VALUE     |
+-----------------------------------+---------------+---------------------+-------------+-----------+-------------------------------+-----------+
| Mon, Feb. 14, 2023 12:01:01 -0600 | TABLE_ADMIN   | HR.TABLES.EMPL_INFO | EMAIL       | ADD       | GOVERNANCE.TAGS.TEST_TAG      | test      |
| Mon, Feb. 14, 2023 12:02:01 -0600 | TABLE_ADMIN   | HR.TABLES.EMPL_INFO | EMAIL       | DROP      | GOVERNANCE.TAGS.TEST_TAG      |           |
| Mon, Feb. 14, 2023 12:03:01 -0600 | TABLE_ADMIN   | HR.TABLES.EMPL_INFO | EMAIL       | ADD       | GOVERNANCE.TAGS.DATA_CATEGORY | sensitive |
| Mon, Feb. 14, 2023 12:04:01 -0600 | DATA_ENGINEER | HR.TABLES.EMPL_INFO | EMAIL       | ADD       | GOVERNANCE.TAGS.DATA_CATEGORY | public    |
+-----------------------------------+---------------+---------------------+-------------+-----------+-------------------------------+-----------+