オブジェクトのタグ付け¶

オブジェクトおよび列のタグクォータ¶

各タグの文字列値は最大256文字で、タグに 許可される値 を指定するオプションがあります。

次の説明は、テーブルやビューではないすべてのオブジェクトに適用されます。

Snowflakeでは、単一のオブジェクトに最大50個の 一意な タグを設定できます。CREATE <オブジェクト> または ALTER <オブジェクト> ステートメントでは、単一のステートメントで指定できるタグの最大数は100です。

一意のタグの最大数は、テーブルとビューの列を含め、テーブルとビューでわずかに異なります。

タグ系統¶

タグは、Snowflakeのセキュリティ保護可能なオブジェクトの階層に基づいて継承されます。Snowflakeは、Snowflake環境の セキュリティ保護可能なオブジェクト の階層にできるだけ近いタグキーを定義することをお勧めします。

タグの継承とは、タグがテーブルに適用される場合、そのタグはそのテーブルの列にも適用されることを意味します。この動作は、タグ系統と呼ばれます。

特定のオブジェクトで継承されたタグを上書きできます。たとえば、テーブルの列が、文字列値がsalesであるcost_centerという名前のタグを継承する場合、タグは、北米の販売コストセンターを指定するsales_naなど、より具体的なタグ文字列値に更新できます。さらに、新しいタグをテーブル列に適用できます。 ALTER TABLE ... ALTER COLUMN ステートメントを使用して、列のタグ文字列値を更新し、列に1つ以上の追加タグを設定します。

タグキーを定義し、Snowflakeオブジェクトにタグを割り当てた後、指定されたテーブル関数を使用してタグ、タグ参照、およびタグ系統を追跡するか、 タグの使用 （このトピック内）に示すようにビューをクエリします。

タグの利点¶

使いやすさ

タグを一度定義して、必要な数の異なるオブジェクトに適用します。

タグ系統

タグは継承されるため、セキュリティ保護可能なオブジェクトの階層の上位にあるオブジェクトにタグを適用すると、すべての子オブジェクトにタグが適用されます。たとえば、タグがテーブルに設定されている場合、そのタグはそのテーブルのすべての列に継承されます。

複製での一貫した割り当て

Snowflakeは、プライマリデータベース内のタグとその割り当てをセカンダリデータベースに複製します。

詳細については、 複製 （このトピック内）をご参照ください。

機密データの追跡とリソースの使用

タグは機密データ（例: PII、シークレット）の識別を簡素化し、Snowflakeリソースの使用状況を可視化します。アナリストは、同じシステム内のデータとメタデータを使用して、タグ定義（例: cost_center、 department）に基づいて、どのリソースが最も多くのSnowflakeクレジットを消費しているかをすばやく判断できます。

集中型または分散型の管理

タグは、さまざまな管理アプローチをサポートして、内部および外部の規制要件への準拠を促進します。

集中型アプローチでは、 tag_admin カスタムロールがタグを作成して、Snowflakeオブジェクトに適用します。

分散型アプローチでは、個々のチームがSnowflakeオブジェクトにタグを適用し、 tag_admin カスタムロールがタグを作成して、一貫したタグの命名を確実にします。

考慮事項¶

将来の付与

タグに対する権限の 将来の付与 はサポートされていません。

回避策として、カスタムロールに APPLYTAG 権限を付与して、そのロールが別のオブジェクトにタグを適用できるようにします。

サポートされているオブジェクト¶

次のテーブルに、列を含む、タグでサポートされているオブジェクトをSnowflakeのセキュリティ保護可能なオブジェクト階層に基づいて示します。

タグは、以下のテーブルでそれ以外に指定されている場合を除き、 CREATE <オブジェクト> ステートメントまたは ALTER <オブジェクト> ステートメントを使用してオブジェクトに設定できます。

タグは、 CREATE TABLE、 CREATE VIEW、 ALTER TABLE ... MODIFY COLUMN、または ALTER VIEW ステートメントのいずれかを使用して列に設定できます。

タグ値の指定¶

ALLOWED_VALUES タグプロパティを使用すると、タグが オブジェクト に設定されている場合に、タグに割り当てることができる選択可能な文字列値を指定できます。1つのタグで可能な文字列値の最大数は50です。

これらの値は、タグを作成または CREATE TAG ステートメントで置き換えるとき、または既存のタグキーを ALTER TAG ステートメントで変更するときに指定できます。ALTER TAG ステートメントは、タグの許可された値の追加 および タグに対する既存の値のドロップをサポートしています。

タグに許可される値のリストを決定するには、 GET_DDL 関数を呼び出します。

例:

許可された2つの文字列値として 'finance' と 'engineering' を使用して cost_center という名前のタグを作成します。

create tag cost_center
    allowed_values 'finance', 'engineering';

Copy

次の許可された値を確認します。

select get_ddl('tag', 'cost_center')

+------------------------------------------------------------------------------+
| GET_DDL('tag', 'cost_center')                                                |
|------------------------------------------------------------------------------|
| create or replace tag cost_center allowed_values = 'finance', 'engineering'; |
+------------------------------------------------------------------------------+

Copy

cost_center という名前のタグを変更して、許可された文字列値として 'marketing' を追加します。

alter tag cost_center
    add allowed_values 'marketing';

Copy

cost_center という名前のタグを変更して、許可された文字列値として 'engineering' をドロップします。

alter tag cost_center
    drop allowed_values 'engineering';

Copy

特定のタグで許可された文字列値のリストを取得するには、 GET_DDL 関数または SYSTEM$GET_TAG_ALLOWED_VALUES 関数を呼び出します。たとえば、タグ cost_center が governance という名前のデータベースと tags という名前のスキーマに保存されていると仮定します。

select system$get_tag_allowed_values('governance.tags.cost_center');

+--------------------------------------------------------------+
| SYSTEM$GET_TAG_ALLOWED_VALUES('GOVERNANCE.TAGS.COST_CENTER') |
|--------------------------------------------------------------|
| ["finance","marketing"]                                      |
+--------------------------------------------------------------+

Copy

オブジェクトのタグ付けとマスキングポリシー¶

詳細については、 タグベースのマスキングポリシー をご参照ください。

列に直接割り当てられるマスキングポリシーは、タグベースのマスキングポリシーよりも優先されることに注意してください。

CREATE TABLE ステートメント¶

CREATE TABLE ... LIKE を使用すると、ソーステーブルに割り当てられたタグがターゲットテーブルに割り当てられます。

複製¶

タグとその割り当ては、ソースアカウントからターゲットアカウントに複製できます。

ソースアカウントから最初に複製した後に、ターゲットアカウントでタグの割り当てを変更することはできません。たとえば、セカンダリ（つまり、複製された）データベースにタグを設定することは許可されていません。ターゲットアカウントでタグの割り当てを変更するには、ソースアカウントでそれらを変更し、ターゲットアカウントに複製します。

データベース複製 の場合は、次のいずれかの条件に該当すると、複製操作に失敗します。

• プライマリデータベースはEnterprise（またはそれ以上）のアカウントにあり、タグを含んでいますが、下位エディションには、複製が承認された1つ以上のアカウントがあります。

• プライマリデータベースに含まれるオブジェクトには、別のデータベースにあるタグへの ダングリングリファレンス がある。

ダングリングリファレンスエラーを回避するには、 複製またはフェールオーバーグループ を使用して、データベースとアカウントレベルのオブジェクトを複製します。複製グループに次が含まれていることを確認します。

• ALLOWED_DATABASES プロパティのタグを含むデータベース。

• OBJECT_TYPES プロパティにタグを持つその他のアカウントレベルのオブジェクト（例: ROLES、 WAREHOUSES）。

  詳細については、 CREATE REPLICATION GROUP および CREATE FAILOVER GROUP をご参照ください。

クローニング¶

• ソースオブジェクト（例: テーブル）にあるタグの関連付けは、クローンされたオブジェクトで維持されます。

• データベースまたはスキーマの場合は、

  そのデータベースまたはスキーマに保存されているタグもクローンされます。

  データベースまたはスキーマがクローンされると、そのスキーマまたはデータベースに存在するタグもクローンされます。

  テーブルまたはビューがソーススキーマ/データベースに存在し、同じスキーマまたはデータベースにあるタグへの参照がある場合、クローンされたテーブルまたはビューは、ソーススキーマまたはデータベースにあるタグの代わりに、対応するクローンタグ（ターゲットスキーマ/データベース内）にマップされます。

データ共有¶

• 共有ビューとタグが異なるデータベースに存在する場合は、タグを含むデータベースに対する REFERENCE_USAGE 権限を共有に付与します。詳細については、 複数のデータベースのデータの共有 をご参照ください。

• データ共有のコンシューマーアカウントで、

  • SHOW TAGS コマンドを実行するロールが共有タグを含むスキーマに対する USAGE 権限を持っている場合は、 SHOW TAGS を実行すると共有タグが返されます。

  • データ共有プロバイダーアカウントのタグが共有テーブルに割り当てられている場合、データ共有コンシューマーは、 SYSTEM$GET_TAG 関数または TAG_REFERENCES Information Schemaテーブル関数を呼び出して、タグの割り当てを表示することはできません。

ステップ1: カスタムロールを作成して権限を割り当てる¶

集中管理アプローチでは、 tag_admin カスタムロールが、タグの作成とSnowflakeオブジェクトへの割り当てを担当します。

この例では、 ACCOUNTADMIN システムロールを使用しています。実稼働環境において、この上位の権限を持つロールを使用することが望ましくない場合は、 tag_admin カスタムロールに対して権限を割り当てるロールが、 tag_admin カスタムロールを承認するために必要な権限を持っていることを確認します。詳細については、 タグの管理 （このトピック内）をご参照ください。

use role useradmin;
create role tag_admin;
use role accountadmin;
grant create tag on schema <schema_name> to role tag_admin;
grant apply tag on account to role tag_admin;

Copy

ステップ2: ユーザーに TAG_ADMIN カスタムロールを付与する¶

タグ管理者として機能するユーザーに TAG_ADMIN カスタムロールを付与します。

use role useradmin;
grant role tag_admin to user jsmith;

ステップ3: タグを作成する¶

CREATE TAG ステートメントを実行してタグを作成します。

use role tag_admin;
use schema my_db.my_schema;
create tag cost_center;

Copy

ステップ4: タグをSnowflakeオブジェクトに割り当てる¶

CREATE <オブジェクト> ステートメントを使用して、タグを 新しい Snowflakeオブジェクトに割り当てます。

たとえば、新しいウェアハウスにタグを設定するには、 CREATE WAREHOUSE コマンドを使用します。

use role tag_admin;
create warehouse mywarehouse with tag (cost_center = 'sales');

Copy

ALTER <オブジェクト> ステートメントを使用して、タグを 新しい Snowflakeオブジェクトに割り当てます。

たとえば、既存のウェアハウスにタグを設定するには、 ALTER WAREHOUSE コマンドを使用します。

use role tag_admin;
alter warehouse wh1 set tag cost_center = 'sales';

Copy

既存の列のタグを設定または設定解除する場合、テーブル列には ALTER TABLE ... MODIFY COLUMN コマンドを使用し、ビュー列には ALTER VIEW ... MODIFY COLUMN コマンドを使用します。1つのステートメントで、複数のタグを設定または設定解除できます。

-- For a table or external table column

alter table <table_name> modify column <column_name> set tag <tag_name> = '<tag_value>' [ , <tag_name> = '<tag_value>' , ... ];
alter table <table_name> modify column <column_name> unset tag <tag_name> [ , <tag_name> , ... ];

-- For a view or materialized view column

alter view <view_name> modify column <column_name> set tag <tag_name> = '<tag_value>' [ , <tag_name> = '<tag_value>' , ... ];
alter view <view_name> modify column <column_name> unset tag <tag_name> [ , <tag_name> , ... ];

Copy

ステップ5: タグを追跡する¶

タグの使用状況は、2つの異なるAccount Usageビュー、2つのInformation Schemaテーブル関数、Account Usageテーブル関数、およびシステム関数を介して追跡できます。

タグの使用状況を追跡する方法を決定するために、2つの一般的なアプローチを考えると役立つ場合があります。

• タグを検出またはリストします。

• タグとオブジェクトの間の割り当て（つまり、参照）を識別します。

タグを検出する

Snowflakeは、タグをリストし、特定のタグキーのタグ文字列値を識別するための次のオプションをサポートしています。

• アカウント内のタグを特定します。

  共有 SNOWFLAKE データベースのAccount Usageスキーマで TAGS ビューを使用します。このビューは、Snowflakeアカウント内にあるすべてのタグの カタログ と見なすことができ、現在のタグと削除されたタグに関する情報を提供します。例:

  select * from snowflake.account_usage.tags
  order by tag_name;
  

  Copy

• 指定のタグの値を特定します。

  指定されたタグ、およびSnowflakeオブジェクトまたは列に割り当てられたタグ値を返すには、 SYSTEM$GET_TAG システム関数を使用します。

  select system$get_tag('cost_center', 'my_table', 'table');
  

  Copy

割り当てを特定する

Snowflakeは、クエリがアカウントまたは特定のデータベースをターゲットにする必要があるかどうか、またタグの系統が必要かどうかに応じて、タグの割り当てを識別するためのさまざまなオプションをサポートしています。

• 系統のあるアカウントレベルのクエリ:

  Account Usageテーブル関数 TAG_REFERENCES_WITH_LINEAGE を使用して、特定のタグキーとタグ値を持ち、タグ系統も含む、すべてのオブジェクトを判別します。

  select *
  from table(snowflake.account_usage.tag_references_with_lineage('my_db.my_schema.cost_center'));
  

  Copy

• 系統のないアカウントレベルのクエリ:

  Account Usage TAG_REFERENCES ビューを使用して、特定のタグキーとタグ値を持つが、タグ系統が含まれて いない、すべてのオブジェクトを判別します。

  select * from snowflake.account_usage.tag_references
  order by tag_name, domain, object_id;
  

  Copy

• 系統のあるデータベースレベルのクエリ:

  すべてのSnowflakeデータベースには Snowflake Information Schema が含まれています。Information Schemaテーブル関数 TAG_REFERENCES を使用して、特定のタグを持ち、特定のデータベース内でタグ系統も含む、すべてのオブジェクトを判別します。

  select *
  from table(my_db.information_schema.tag_references('my_table', 'table'));
  

  Copy

• 系統のある、テーブルまたはビュー内の列すべてのタグすべてに対するデータベースレベルのクエリ:

  Information Schema関数 TAG_REFERENCES_ALL_COLUMNS を使用して、特定のテーブルまたはビューにあるすべての列に設定されているすべてのタグを取得します。

  オブジェクト名がビュー（つまり、ビュー、マテリアライズドビュー）であっても、ドメイン TABLE は列を含むすべてのオブジェクトに使用する 必要がある ことに注意してください。

  select *
  from table(information_schema.tag_references_all_columns('my_table', 'table'));
  

  Copy

タグの権限¶

Snowflakeは、ユーザーがタグを作成、設定、および所有できるかどうかを決定するために、次の権限をサポートしています。

スキーマ内の任意のオブジェクトを操作するには、親データベースとスキーマに対する USAGE 権限も必要であることに注意してください。

タグ DDL 参照情報¶

Snowflakeは、タグを作成および管理するために次の DDL をサポートしています。

• CREATE TAG

• ALTER TAG

• ALTER <オブジェクト> （Snowflakeオブジェクトにタグを設定するため）

• SHOW TAGS

• DROP TAG

• UNDROP TAG

Snowflakeは、タグオブジェクトの describe 操作をサポートしていないことに注意してください。

DDL コマンド、操作、および権限の概要¶

次のテーブルは、タグ権限と DDL 操作の関係をまとめたものです。

Snowflakeは、オブジェクトにタグを作成および設定するためのさまざまな権限をサポートしています。

1. tag_admin カスタムロールが すべての オブジェクト/列にタグを作成および設定する集中型タグ管理アプローチの場合は、次の権限が必要です。

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply tag on account to role tag_admin;
   

   Copy

2. ハイブリッド型管理アプローチでは、単一のロールにCREATE TAG権限があり、タグに一貫した名前が付けられ、個々のチームまたはロールに特定のタグのAPPLY権限があります。

   たとえば、カスタムロール finance_role ロールには、ロールが所有するテーブルおよびビューにタグ cost_center を設定する権限を付与します（つまり、ロールにはテーブルまたはビューの OWNERSHIP 権限があります）。

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply on tag cost_center to role finance_role;
   

   Copy