オブジェクトのタグ付け¶

オブジェクトおよび列のタグクォータ¶

各タグの文字列値は最大256文字で、タグに 許可される値 を指定するオプションがあります。

次の説明は、テーブルやビューではないすべてのオブジェクトに適用されます。

Snowflakeでは、単一のオブジェクトに最大50個の 一意な タグを設定できます。CREATE <オブジェクト> または ALTER <オブジェクト> ステートメントでは、単一のステートメントで指定できるタグの最大数は100です。

一意のタグの最大数は、テーブルとビューの列を含め、テーブルとビューでわずかに異なります。

タグ値を指定する¶

ALLOWED_VALUES タグプロパティを使用すると、タグが オブジェクト に設定されている場合に、タグに割り当てることができる選択可能な文字列値を指定できます。1つのタグで可能な文字列値の最大数は300です。

これらの値は、タグを作成または CREATE TAG ステートメントで置き換えるとき、または既存のタグキーを ALTER TAG ステートメントで変更するときに指定できます。ALTER TAG ステートメントは、タグの許可された値の追加 および タグに対する既存の値のドロップをサポートしています。

タグに許可される値のリストを決定するには、 GET_DDL 関数または SYSTEM$GET_TAG_ALLOWED_VALUES 関数を呼び出します。

例:

許可された2つの文字列値として 'finance' と 'engineering' を使用して cost_center という名前のタグを作成します。

create tag cost_center
    allowed_values 'finance', 'engineering';

Copy

次の許可された値を確認します。

select get_ddl('tag', 'cost_center')

+------------------------------------------------------------------------------+
| GET_DDL('tag', 'cost_center')                                                |
|------------------------------------------------------------------------------|
| create or replace tag cost_center allowed_values = 'finance', 'engineering'; |
+------------------------------------------------------------------------------+

Copy

cost_center という名前のタグを変更して、許可された文字列値として 'marketing' を追加します。

alter tag cost_center
    add allowed_values 'marketing';

Copy

cost_center という名前のタグを変更して、許可された文字列値として 'engineering' をドロップします。

alter tag cost_center
    drop allowed_values 'engineering';

Copy

特定のタグで許可された文字列値のリストを取得するには、 GET_DDL 関数または SYSTEM$GET_TAG_ALLOWED_VALUES 関数を呼び出します。たとえば、タグ cost_center が governance という名前のデータベースと tags という名前のスキーマに保存されていると仮定します。

select system$get_tag_allowed_values('governance.tags.cost_center');

+--------------------------------------------------------------+
| SYSTEM$GET_TAG_ALLOWED_VALUES('GOVERNANCE.TAGS.COST_CENTER') |
|--------------------------------------------------------------|
| ["finance","marketing"]                                      |
+--------------------------------------------------------------+

Copy

タグ系統¶

タグは、Snowflakeのセキュリティ保護可能なオブジェクトの階層に基づいて継承されます。Snowflakeは、Snowflake環境の セキュリティ保護可能なオブジェクト の階層にできるだけ近いタグキーを定義することをお勧めします。

タグの継承とは、タグがテーブルに適用される場合、そのタグはそのテーブルの列にも適用されることを意味します。この動作は、タグ系統と呼ばれます。

特定のオブジェクトで継承されたタグを上書きできます。たとえば、テーブルの列が、文字列値がsalesであるcost_centerという名前のタグを継承する場合、タグは、北米の販売コストセンターを指定するsales_naなど、より具体的なタグ文字列値に更新できます。さらに、新しいタグをテーブル列に適用できます。 ALTER TABLE ... ALTER COLUMN ステートメントを使用して、列のタグ文字列値を更新し、列に1つ以上の追加タグを設定します。

タグキーを定義し、Snowflakeオブジェクトにタグを割り当てた後、指定されたテーブル関数を使用してタグ、タグ参照、およびタグ系統をモニターするか、 SQL によるタグのモニター （このトピック内）に示すようにビューをクエリします。

利点¶

使いやすさ

タグを一度定義して、必要な数の異なるオブジェクトに適用します。

タグ系統

タグは継承されるため、セキュリティ保護可能なオブジェクトの階層の上位にあるオブジェクトにタグを適用すると、すべての子オブジェクトにタグが適用されます。たとえば、タグがテーブルに設定されている場合、そのタグはそのテーブルのすべての列に継承されます。

複製での一貫した割り当て

Snowflakeは、プライマリデータベース内のタグとその割り当てをセカンダリデータベースに複製します。

詳細については、 複製 （このトピック内）をご参照ください。

機密データの追跡とリソースの使用

タグは機密データ（例: PII、シークレット）の識別を簡素化し、Snowflakeリソースの使用状況を可視化します。アナリストは、同じシステム内のデータとメタデータを使用して、タグ定義（例: cost_center、 department）に基づいて、どのリソースが最も多くのSnowflakeクレジットを消費しているかをすばやく判断できます。

集中型または分散型の管理

タグは、さまざまな管理アプローチをサポートして、内部および外部の規制要件への準拠を促進します。

集中型アプローチでは、 tag_admin カスタムロールがタグを作成して、Snowflakeオブジェクトに適用します。

分散型アプローチでは、個々のチームがSnowflakeオブジェクトにタグを適用し、 tag_admin カスタムロールがタグを作成して、一貫したタグの命名を確実にします。

考慮事項¶

将来の付与

タグに対する権限の 将来の付与 はサポートされていません。

回避策として、カスタムロールに APPLYTAG 権限を付与して、そのロールが別のオブジェクトにタグを適用できるようにします。

サポートされているオブジェクト¶

次のテーブルに、列を含む、タグでサポートされているオブジェクトをSnowflakeのセキュリティ保護可能なオブジェクト階層に基づいて示します。

タグは、以下のテーブルでそれ以外に指定されている場合を除き、 CREATE <オブジェクト> ステートメントまたは ALTER <オブジェクト> ステートメントを使用してオブジェクトに設定できます。

タグは、 CREATE TABLE、 CREATE VIEW、 ALTER TABLE ... MODIFY COLUMN、または ALTER VIEW ステートメントのいずれかを使用して列に設定できます。

オブジェクトのタグ付けおよびマスキングポリシー¶

詳細については、 タグベースのマスキングポリシー をご参照ください。

列に直接割り当てられるマスキングポリシーは、タグベースのマスキングポリシーよりも優先されることに注意してください。

CREATE TABLE ステートメント¶

CREATE TABLE ... LIKE を使用すると、ソーステーブルに割り当てられたタグがターゲットテーブルに割り当てられます。

複製¶

タグとその割り当ては、ソースアカウントからターゲットアカウントに複製できます。

ソースアカウントから最初に複製した後に、ターゲットアカウントでタグの割り当てを変更することはできません。たとえば、セカンダリ（つまり、複製された）データベースにタグを設定することは許可されていません。ターゲットアカウントでタグの割り当てを変更するには、ソースアカウントでそれらを変更し、ターゲットアカウントに複製します。

データベース複製 の場合は、次のいずれかの条件に該当すると、複製操作に失敗します。

• プライマリデータベースはEnterprise（またはそれ以上）のアカウントにあり、タグを含んでいますが、下位エディションには、複製が承認された1つ以上のアカウントがあります。

• プライマリデータベースに含まれるオブジェクトには、別のデータベースにあるタグへの ダングリングリファレンス がある。

ダングリングリファレンスエラーを回避するには、 複製またはフェールオーバーグループ を使用して、データベースとアカウントレベルのオブジェクトを複製します。複製グループに次が含まれていることを確認します。

• ALLOWED_DATABASES プロパティのタグを含むデータベース。

• OBJECT_TYPES プロパティにタグを持つその他のアカウントレベルのオブジェクト（例: ROLES、 WAREHOUSES）。

  詳細については、 CREATE REPLICATION GROUP および CREATE FAILOVER GROUP をご参照ください。

クローニング¶

• ソースオブジェクト（例: テーブル）にあるタグの関連付けは、クローンされたオブジェクトで維持されます。

• データベースまたはスキーマの場合は、

  そのデータベースまたはスキーマに格納されているタグもクローンされます。

  データベースまたはスキーマがクローンされると、そのスキーマまたはデータベースに存在するタグもクローンされます。

  テーブルまたはビューがソーススキーマ/データベースに存在し、同じスキーマまたはデータベースにあるタグへの参照がある場合、クローンされたテーブルまたはビューは、ソーススキーマまたはデータベースにあるタグの代わりに、対応するクローンタグ（ターゲットスキーマ/データベース内）にマップされます。

データ共有¶

• 共有ビューとタグが異なるデータベースに存在する場合は、タグを含むデータベースに対する REFERENCE_USAGE 権限を共有に付与します。詳細については、 複数データベースからのデータの共有 をご参照ください。

• データ共有のコンシューマーアカウントで、

  • SHOW TAGS コマンドを実行するロールが共有タグを含むスキーマに対する USAGE 権限を持っている場合は、 SHOW TAGS を実行すると共有タグが返されます。

    プロバイダーがタグに対する READ 権限を共有または共有データベースロールに付与した場合、コンシューマーは共有タグのタグ割り当てを表示できます。詳細については、 共有タグリファレンス をご参照ください。

  • データ共有プロバイダーアカウントのタグが共有テーブルに割り当てられている場合、データ共有コンシューマーは、 SYSTEM$GET_TAG 関数または TAG_REFERENCES Information Schemaテーブル関数を呼び出して、タグの割り当てを表示することはできません。

タグを検出する¶

Snowflakeは、タグをリストし、特定のタグキーのタグ文字列値を識別するための次のオプションをサポートしています。

• アカウント内のタグを特定します。

  共有 SNOWFLAKE データベースのAccount Usageスキーマで TAGS ビューを使用します。このビューは、Snowflakeアカウント内にあるすべてのタグの カタログ と見なすことができ、現在のタグと削除されたタグに関する情報を提供します。例:

  SELECT * FROM SNOWFLAKE.ACCOUNT_USAGE.TAGS
  ORDER BY TAG_NAME;
  

  Copy

• 指定のタグの値を特定します。

  指定されたタグ、およびSnowflakeオブジェクトまたは列に割り当てられたタグ値を返すには、 SYSTEM$GET_TAG システム関数を使用します。

  SELECT SYSTEM$GET_TAG('cost_center', 'my_table', 'table');
  

  Copy

割り当てを識別する¶

Snowflakeは、クエリがアカウントまたは特定のデータベースをターゲットにする必要があるかどうか、またタグの系統が必要かどうかに応じて、タグの割り当てを識別するためのさまざまなオプションをサポートしています。

• 系統のあるアカウントレベルのクエリ:

  Account Usageテーブル関数 TAG_REFERENCES_WITH_LINEAGE を使用して、特定のタグキーとタグ値を持ち、タグ系統も含む、すべてのオブジェクトを判別します。

  SELECT *
  FROM TABLE(
    snowflake.account_usage.tag_references_with_lineage(
      'my_db.my_schema.cost_center'
    )
  );
  

  Copy

• 系統のないアカウントレベルのクエリ:

  Account Usage TAG_REFERENCES ビューを使用して、特定のタグキーとタグ値を持つが、タグ系統が含まれて いない、すべてのオブジェクトを判別します。

  SELECT * FROM snowflake.account_usage.tag_references
  ORDER BY TAG_NAME, DOMAIN, OBJECT_ID;
  

  Copy

• 系統のあるデータベースレベルのクエリ:

  すべてのSnowflakeデータベースには Snowflake Information Schema が含まれています。Information Schemaテーブル関数 TAG_REFERENCES を使用して、特定のタグを持ち、特定のデータベース内でタグ系統も含む、すべてのオブジェクトを判別します。

  SELECT *
  FROM TABLE(
    my_db.INFORMATION_SCHEMA.TAG_REFERENCES(
      'my_table',
      'table'
    )
  );
  

  Copy

• 系統のある、テーブルまたはビュー内の列すべてのタグすべてに対するデータベースレベルのクエリ:

  Information Schema関数 TAG_REFERENCES_ALL_COLUMNS を使用して、特定のテーブルまたはビューにあるすべての列に設定されているすべてのタグを取得します。

  オブジェクト名がビュー（つまり、ビュー、マテリアライズドビュー）であっても、ドメイン TABLE は列を含むすべてのオブジェクトに使用する 必要がある ことに注意してください。

  SELECT *
  FROM TABLE(
    INFORMATION_SCHEMA.TAG_REFERENCES_ALL_COLUMNS(
      'my_table',
      'table'
    )
  );
  

  Copy

Snowsightのガバナンスエリアへのアクセス¶

Governance エリアにアクセスするには、Snowflakeアカウントが Enterprise Edition 以上 である必要があります。さらに、次のいずれかを実行する必要があります。

• ACCOUNTADMIN ロールを使用します。

• GOVERNANCE_VIEWER および OBJECT_VIEWER データベースロールが付与されているアカウントロールを使用します。

  アカウントロールにこれらのデータベースロールが付与されているかどうかを確認するには、 SHOW GRANTS コマンドを使用します。

  SHOW GRANTS TO ROLE data_engineer;
  

  Copy

  これらのデータベースロールの詳細については、 SNOWFLAKE データベースロール をご参照ください。

ダッシュボード¶

データ管理者は、 Dashboard インターフェイスを使用して、次の方法でタグとポリシーの使用状況をモニターできます。

• カバレッジ: テーブル、ビュー、または列にポリシーまたはタグがあるかどうかに基づいて、カウントとパーセンテージを指定します。

• 普及率: 最も頻繁に使用されるポリシーとタグをリストし、カウントします。

カバレッジと普及率は、データがどの程度適切に保護され、タグ付けされているかに関するスナップショットを提供します。

カウント数、パーセンテージ、ポリシー名、またはタグ名を選択すると、 Tagged Objects インターフェイスが開きます。 Tagged Objects インターフェイスは、 Dashboard での選択に基づいてフィルターを自動的に更新します。

モニター情報は、複数のAccount Usageビューで複雑なクエリ集中型の操作を実行するための代替または補完です。

これらのビューには、 COLUMNS、 POLICY_REFERENCES、 TABLES、 TAG_REFERENCES、および VIEWS ビューが含まれますが、これらに限定されません。

タグ付きオブジェクト¶

データ管理者は、このテーブルを使用して、 Dashboard のカバレッジと普及率を特定のテーブル、ビュー、または列のリストにすばやく関連付けることができます。次のようにテーブルの結果を手動でフィルターすることもできます。

• Tables または Columns を選択します。

• タグの場合は、タグあり、タグなし、または特定のタグでフィルターできます。

• ポリシーの場合は、ポリシーあり、ポリシーなし、または特定のポリシーでフィルターできます。

テーブル内の行を選択すると、 Data » Databases の Table Details または Columns タブが開きます。必要に応じて、タグとポリシーの割り当てを編集できます。

タグの権限¶

Snowflakeは、ユーザーがタグを作成、設定、および所有できるかどうかを決定するために、次の権限をサポートしています。

スキーマ内の任意のオブジェクトを操作するには、親データベースとスキーマに対する USAGE 権限も必要であることに注意してください。

タグ DDL 参照¶

Snowflakeは、タグを作成および管理するために次の DDL をサポートしています。

• CREATE TAG

• ALTER TAG

• ALTER <オブジェクト> （Snowflakeオブジェクトにタグを設定するため）

• SHOW TAGS

• DROP TAG

• UNDROP TAG

Snowflakeは、タグオブジェクトの describe 操作をサポートしていないことに注意してください。

DDL コマンド、操作、および権限の概要¶

次のテーブルは、タグ権限と DDL 操作の関係をまとめたものです。

Snowflakeは、オブジェクトにタグを作成および設定するためのさまざまな権限をサポートしています。

1. tag_admin カスタムロールが すべての オブジェクト/列にタグを作成および設定する集中型タグ管理アプローチの場合は、次の権限が必要です。

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply tag on account to role tag_admin;
   

   Copy

2. ハイブリッド型管理アプローチでは、単一のロールに CREATE TAG 権限があり、タグに一貫した名前が付けられ、個別のチームまたはロールに特定のタグの APPLY 権限があります。

   たとえば、カスタムロール finance_role ロールには、ロールが所有するテーブルおよびビューにタグ cost_center を設定する権限を付与します（つまり、ロールにはテーブルまたはビューの OWNERSHIP 権限があります）。

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply on tag cost_center to role finance_role;
   

   Copy