集計ポリシー¶

制限事項¶

このプレビューについて:

• クエリが明示的なグループ化構文を使用する場合は、 GROUP BY 句である必要があります。クエリは GROUP BY ROLLUP、 GROUP BY CUBE、または GROUP BY GROUPING SETS のような関連する構文を使用できません。

• ほとんどの セット演算子 は、クエリの1つが集計制約付きテーブルに作用する場合、許可されません。例外として UNION ALL がサポートされますが、各結果グループはクエリされる集計制約付きテーブルの最小グループサイズを満たす必要があります（詳細については クエリの要件 をご参照ください）。

• 集計制約付きテーブルの列が 投影ポリシー で保護されている場合、そのテーブルに対するクエリでは、列を COUNT 関数の引数として使用できません。

• 再帰 CTEs は、集計制約付きテーブルまたはビューに対するクエリでは使用できません。

• ウィンドウ関数 は、集計制約付きテーブルまたはビューに対するクエリでは使用できません。

• 集計ポリシーの要件を満たすクエリの部分への参照またはクエリの部分からの参照がある場合、集計制約付きテーブルに対するクエリでは 相関サブクエリ または ラテラル結合 を使用できません。次の例は、禁止されているクエリの種類を示しています。

  例1

  protected_table が集計制約付きであると仮定すると、データを集計するクエリの部分がサブクエリ外のクエリの別の部分を参照するため、次のクエリは許可されません。

  SELECT c1, c2
  FROM open_table
  WHERE c1 = (SELECT x FROM protected_table WHERE y = open_table.c2);
  

  Copy

  例2

  protected_table が集計制約付きであると仮定すると、サブクエリは、サブクエリの外側にあるデータを集計するクエリの部分を参照するため、次のクエリは許可されません。

  SELECT
    SUM(SELECT COUNT(*) FROM open_table ot WHERE pt.id = ot.id)
  FROM protected_table pt;
  

  Copy

考慮事項¶

集計ポリシーを使用して機密データを保護する場合は、次の点を考慮してください。

• 集計ポリシーは、エンティティではなく、個々の記録のデータを保護します。データセットに、同じエンティティに属する複数の記録が含まれている場合、集計ポリシーはエンティティ全体ではなく、そのエンティティに関連する特定の記録のプライバシーのみを保護します。

• 集計ポリシーにより個々の記録へのアクセスは制限されますが、悪意のある攻撃者が意図的なクエリを使用して、集計制約付きテーブルから潜在的に機密性の高いデータを取得できないことを保証するものではありません。十分な数のクエリ試行により、悪意のある攻撃者が集計要件を回避して個々の行からの値を確認できる可能性はあります。集計ポリシーは、既に一定の信頼関係があるパートナーや顧客との使用に最適です。さらに、プロバイダーは、データ悪用の可能性（リストへのアクセス履歴の確認など）にも注意する必要があります。

本体から内部関数を呼び出す¶

集計ポリシーは、ポリシーの制約を定義するために NO_AGGREGATION_CONSTRAINT および AGGREGATION_CONSTRAINT の2つの内部関数を使用します。本体の条件がこれらの関数のいずれかを呼び出す場合、関数からの戻り値によって、集計制約付きテーブルまたはビューに対するクエリをどのように作成して結果を返す必要があるかが決まります。

NO_AGGREGATION_CONSTRAINT

ポリシー本体がこの関数から値を返す場合、クエリは集計制約付きテーブルまたはビューから制限なしでデータを返すことができます。たとえば、管理者が集計制約付きテーブルまたはビューから集計されていない結果を取得する必要がある場合、ポリシーの本体でこの関数を呼び出すことができます。

引数なしで NO_AGGREGATION_CONSTRAINT を呼び出します。

AGGREGATION_CONSTRAINT

ポリシー本体がこの関数から値を返す場合、結果を返すにはクエリでデータを集計する必要があります。MIN_GROUP_SIZE 引数を使用して、各集計グループに含める必要がある記録の数を指定します。

AGGREGATION_CONSTRAINT 関数の構文は次のとおりです。

AGGREGATION_CONSTRAINT ( MIN_GROUP_SIZE => <integer_expression> )

Copy

ここで、 integer_expression は ポリシーの最小グループサイズ に解決されます。

関数への引数として 1 と 0 を渡すことには違いがあります。どちらも結果を集計する必要があります。

• 1 を渡すには、各集計グループに集計制約付きテーブルからの記録が少なくとも1つ含まれていることも必要です。したがって外部結合では、集計制約付きテーブルの少なくとも1つの記録が、保護されていないテーブルの記録と一致する必要があります。

• 0 を渡すと、クエリは別のテーブルの記録のみで構成されるグループを返すことができます。したがって、集計制約付きテーブルと保護されていないテーブル間の外部結合では、グループは集計制約付きテーブルのどの記録とも一致しない保護されていないテーブルの記録で構成される可能性があります。

ポリシーの例¶

固定された最小グループサイズ

もっとも単純な集計ポリシーは AGGREGATION_CONSTRAINT 関数を直接呼び出し、テーブルに対するすべてのクエリに適用される一定の最小グループサイズを定義します。たとえば、次のコマンドは最小グループサイズが5の集計ポリシーを作成します。

CREATE AGGREGATION POLICY my_agg_policy
  AS () RETURNS AGGREGATION_CONSTRAINT -> AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5);

Copy

条件付きポリシー

ポリシー管理者は、集計ポリシーの SQL 式を定義して、クエリを実行するユーザーの役割などの要素に基づいて、さまざまなクエリにさまざまな制限を適用できます。この戦略により、1人のユーザーは制限なくテーブルをクエリし、他のユーザーには結果を集計するように要求できます。

たとえば、次の集計ポリシーでは、 ADMIN のロールを持つユーザーにテーブルへの無制限のアクセス権が付与されますが、他のすべてのクエリではデータを少なくとも5行のグループに集計する必要があります。

CREATE AGGREGATION POLICY my_agg_policy
  AS () RETURNS AGGREGATION_CONSTRAINT ->
    CASE
      WHEN CURRENT_ROLE() = 'ADMIN'
        THEN NO_AGGREGATION_CONSTRAINT()
      ELSE AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5)
    END;

Copy

集計ポリシーを置き換える¶

集計ポリシーを置き換える場合は、 FORCE パラメーターを使用して既存の集計ポリシーをデタッチし、1つのコマンドで新しい集計ポリシーを割り当てる方法が推奨されます。この方法により、保護にギャップが残らないように、古いポリシーを自動的に置き換えることができます。

たとえば、すでに集計制約が設定されているテーブルに新しい集計ポリシーを割り当てるには、次のようにします。

ALTER TABLE privacy SET AGGREGATION POLICY agg_policy_2 FORCE;

1つのステートメント（... UNSET AGGREGATION POLICY）でテーブルまたはビューから集計ポリシーをデタッチし、別のステートメント（... SET AGGREGATION POLICY <name>）でテーブルまたはビューに新しいポリシーを設定することもできます。この方法を選択した場合、1つのポリシーをデタッチして別のポリシーを割り当てるまでの間、テーブルは集計ポリシーによって保護されません。この間にクエリが機密データにアクセスする可能性があります。

集計ポリシーを見つける¶

共有 SNOWFLAKE データベースのAccount Usageスキーマで AGGREGATION_POLICIES ビューを使用できます。このビューは、Snowflakeアカウント内にあるすべての集計ポリシーの カタログ です。例:

SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.AGGREGATION_POLICIES
ORDER BY POLICY_NAME;

Copy

集計ポリシーの参照を特定する¶

POLICY_REFERENCES Information Schemaテーブル関数は、集計ポリシーの参照を識別できます。2つの異なる構文オプションがあります。

1. 指定された集計ポリシーが設定されている各オブジェクト（テーブルまたはビュー）の行を返します。

   USE DATABASE my_db;
   USE SCHEMA information_schema;
   SELECT policy_name,
          policy_kind,
          ref_entity_name,
          ref_entity_domain,
          ref_column_name,
          ref_arg_column_names,
          policy_status
   FROM TABLE(information_schema.policy_references(policy_name => 'my_db.my_schema.aggpolicy'));
   

   Copy

2. my_table という名前のテーブルに割り当てられた各ポリシーの行を返します。

   USE DATABASE my_db;
   USE SCHEMA information_schema;
   SELECT policy_name,
          policy_kind,
          ref_entity_name,
          ref_entity_domain,
          ref_column_name,
          ref_arg_column_names,
          policy_status
   FROM TABLE(information_schema.policy_references(ref_entity_name => 'my_db.my_schema.my_table', ref_entity_domain => 'table'));
   

   Copy

その他のポリシー¶

このセクションでは、 マスキングポリシー、 行アクセスポリシー、 投影ポリシー などの他のポリシーと集計ポリシーがどのように相互作用するかを説明します。

集計制約付きテーブルに他のポリシーを関連付けることができます。テーブルに対する正常なクエリは、すべてのポリシーの要件を満たす必要があります。

行アクセスポリシーが集計制約付きテーブルに割り当てられている場合、行アクセスポリシーに基づいてクエリ結果から除外された行は、集計結果の計算時に含まれません。

マスキングポリシー、行アクセスポリシー、投影ポリシーの本体では、その列を含め、集計制約付きテーブルを参照できません。同様に、他のポリシーの本体には、集計制約付きテーブルを参照する UDF を含めることはできません。

ビューおよびマテリアライズドビュー¶

集計ポリシーは、ビューとマテリアライズドビューの両方に割り当てることができます。集計ポリシーがビューに適用されると、基になるテーブルは集計制約を受けなくなります。このベーステーブルは、引き続き制限なくクエリできます。

機密データが公開される可能性を回避するために、集計制約付きのすべてのビューは、そうでない場合であっても、 セキュアビュー であるかのように扱われます。

集計制約付きテーブルからビューを作成できるかどうかは、ビューのタイプに応じて異なります。

• 1つ以上の集計制約付きテーブルから通常のビューを作成できますが、そのビューに対するクエリでは、それらのベーステーブルの制約を満たす方法でデータを集計する必要があります。

• 集計制約付きテーブルまたはビューに基づいてマテリアライズドビューを作成することはできません。また、マテリアライズドビューの基になるテーブルまたはビューに集計ポリシーを割り当てることもできません。

クローンされたオブジェクト¶

次のアプローチは、クローンされたデータベースまたはスキーマに格納されているクローンされたテーブルまたはビューの SELECT 権限を持つユーザーからデータを保護するのに役立ちます。

• 個別の集計ポリシーオブジェクトのクローニングはサポートされていません。

• データベースをクローニングすると、データベース内のすべての集計ポリシーがクローニングされます。

• スキーマをクローニングすると、スキーマ内のすべての集計ポリシーがクローニングされます。

• クローンされたテーブルは、ソーステーブルと同じ集計ポリシーにマップされます。

  • テーブルがその親スキーマクローニングのコンテキストでクローンされるときに、同じ親スキーマの集計ポリシーへの参照（つまり、ローカル参照）がソーステーブルにあると、クローンされたテーブルはクローンされたポリシーへの参照を持つようになります。

  • ソーステーブルが別のスキーマの集計ポリシー（外部参照など）を参照している場合、複製されたテーブルは外部参照を保持します。

詳細については、 CREATE <オブジェクト> ... CLONE をご参照ください。

複製¶

集計ポリシーとその割り当ては、データベース複製と複製グループを使用して複製できます。

データベース複製 の場合は、次のいずれかの条件に該当すると、複製操作に失敗します。

• プライマリデータベースはEnterprise（またはそれ以上）のアカウントにあり、ポリシーを含んでいるが、下位エディションには、複製の承認されたアカウントが1つ以上ある。

• プライマリデータベースに含まれるテーブルまたはビューには、別のデータベースにある集計ポリシーへの ダングリングリファレンス がある。

複製グループ で複数のデータベースを複製すると、データベース複製のダングリングリファレンス動作を回避できます。

集計ポリシーの権限¶

Snowflakeは、集計ポリシーオブジェクトに対して次の権限をサポートしています。

スキーマ内の任意のオブジェクトを操作するには、親データベースとスキーマに対する USAGE 権限も必要であることに注意してください。

詳細については、このトピックの DDL コマンド、操作、および権限の概要 をご参照ください。

集計ポリシー DDL 参照¶

Snowflake は、集計ポリシーを作成および管理するために次の DDL をサポートしています。

• CREATE AGGREGATION POLICY

• ALTER AGGREGATION POLICY

• DESCRIBE AGGREGATION POLICY

• DROP AGGREGATION POLICY

• SHOW AGGREGATION POLICIES

DDL コマンド、操作、および権限の概要¶

次のテーブルは、集計ポリシー権限と DDL 操作の関係をまとめたものです。

スキーマ内の任意のオブジェクトを操作するには、親データベースとスキーマに対する USAGE 権限も必要であることに注意してください。

Snowflakeは、オブジェクトに集計ポリシーを作成および設定するためのさまざまなアクセス権限をサポートしています。

1. aggregation_policy_admin カスタムロールが すべての テーブルに集計ポリシーを作成および設定する集中型の集計ポリシー管理アプローチの場合は、次の権限が必要です。

   USE ROLE securityadmin;
   GRANT USAGE ON DATABASE mydb TO ROLE agg_policy_admin;
   GRANT USAGE ON SCHEMA mydb.schema TO ROLE proj_policy_admin;
   GRANT CREATE AGGREGATION POLICY ON SCHEMA mydb.schema TO ROLE aggregation_policy_admin;
   GRANT APPLY ON AGGREGATION POLICY ON ACCOUNT TO ROLE aggregation_policy_admin;
   

   Copy

2. ハイブリッド型管理アプローチでは、単一のロールに CREATE AGGREGATION POLICY 権限があり、集計ポリシーに一貫した名前が付けられ、個別のチームまたはロールに特定の集計ポリシーの APPLY 権限があります。

   たとえば、カスタムロール finance_role ロールには、ロールが所有するテーブルおよびビューに集計ポリシー cost_center を設定する権限を付与します（つまり、ロールにはテーブルまたはビューの OWNERSHIP 権限があります）。

   USE ROLE securityadmin;
   GRANT CREATE AGGREGATION POLICY ON SCHEMA mydb.schema TO ROLE aggregation_policy_admin;
   GRANT APPLY ON AGGREGATION POLICY cost_center TO ROLE finance_role;
   

   Copy