このトピックでは、データプロバイダーのアカウント作成と共有の構成、他のコンシューマーアカウントとの共有の共有、および共有の継続的なメンテナンスの実行に関連するタスクについて説明します。
注意
Snowflakeでは、データ共有に携わっている HIPAA （および HITRUST）アカウントが相互に BAA に署名していることを保証する責任を負いません。これは、データを共有しているアカウントの裁量です。署名済みの BAA がない場合は、両方のアカウント、 特に プロバイダーアカウントの HIPAA （および HITRUST）コンプライアンスに影響する可能性があります。
また、Business Criticalアカウントをお持ちの場合は、SnowflakeにBusiness Critical以外のアカウントでSecure Data Sharingを有効にすることをリクエストする前に、次の点を考慮してデータ保護の期待レベルを維持するようにしてください。
これらは推奨事項にすぎず、Snowflakeによって強制されるものではありません。データを共有するかどうかは、常にデータプロバイダーの裁量に委ねられます。Snowflakeは、不適切に共有されたデータについて一切の責任を負いません。
共有を作成する準備
共有を作成する前に、共有する予定のSnowflakeオブジェクトを特定することをお勧めします。
これにより、特にテーブルのデータのサブセットのみを共有することにした場合、追加の計画および管理タスクが必要になる可能性があります。
データベースとテーブル
データベースを共有する予定の場合、準備はほとんどまたはまったく必要ありません。
テーブル全体をシェアする場合は、準備は不要です。
ただし、特定の条件に基づいて、またはコンシューマーアカウントによって、テーブル（またはテーブルのセット）のデータをフィルター処理する場合、1つ以上のセキュリティでセキュアビューをテーブルに作成する必要があります。
セキュアオブジェクト（ビュー、マテリアライズドビュー、および UDFs）
共有データベース内のデータへのアクセスを厳密に制御するには、 セキュアビュー、 セキュアマテリアライズドビュー および/または セキュア UDFs を使用する 必要 があります。たとえば、日付やその他の条件でデータをフィルターすることを選択したり、単一の共有を使用して異なるコンシューマーアカウントの共有データを分割したりできます。セキュアオブジェクトを使用すると、ベーステーブルとビジネスロジックが公開されないようにしながら、データに適用する細分性のレベルを指定できます。
セキュアオブジェクトは、対応する CREATE <オブジェクト> または ALTER <オブジェクト> コマンドを使用して、標準オブジェクトと同様に定義されます。ただし、次の重要な使用情報に注意します。
完全修飾名（つまり、 <データベース名>.<スキーマ名>.<テーブル名> ）でテーブルを参照する安全なオブジェクトは、共有に含めることができます。ただし、参照されるデータベース名が共有のデータベースと 一致 することを確認する必要があります。
定義に CURRENT_USER または CURRENT_ROLE 関数を使用するセキュアオブジェクトを含め ない でください。これらの関数によって返されるコンテキスト値は、コンシューマーのアカウントに関連性がなく、クエリ/使用時にオブジェクトが失敗します。
安全なオブジェクトを定義してコンシューマーアカウントと共有する場合、実行する重要な追加のステップは、表示するデータのみを表示するようにオブジェクトが正しく構成されていることを検証することです。これは、データが共有されるアカウントに基づいてデータアクセスを制限する場合に特に重要です。この検証の実行を容易にするために、Snowflakeは、 SIMULATED_DATA_SHARING_CONSUMER セッションパラメーターを提供します。SIMULATED_DATA_SHARING_CONSUMER セッションパラメーターは、セキュアビューとセキュアマテリアライズドビューのみをサポートしており、セキュア UDFs はサポートしていません。セッションでこのパラメーターを設定すると、ビューを共有する予定のコンシューマーアカウント内にあるいずれかのユーザーとして、セキュアビューのクエリをシミュレートできます。
例えば、コンシューマーアカウント xy12345 の場合:
ALTER SESSION SET SIMULATED_DATA_SHARING_CONSUMER = xy12345;
詳細な例については、 セキュアオブジェクトを使用したデータアクセスの制御を使用する をご参照ください。
共有オブジェクトのストリーム
データコンシューマーは、ソーステーブルまたはビューに加えられたデータ操作言語（DML）の変更を記録するストリームを独自のデータベースに作成できます。
注釈
ここに記載されている操作はサポートされていません：
コンシューマーは、共有テーブルまたはセキュアビューでストリームを作成できます。その前に、テーブルのデータ保持期間を延長し、共有テーブルまたは共有ビューの基礎となるテーブルの変更追跡を有効にする必要があります。 CREATE TABLE または ALTER TABLE を使って、テーブルを作成または変更する際に CHANGE_TRACKING と DATA_RETENTION_TIME_IN_DAYS パラメータを設定します。
- 変更の追跡を有効にする:
現在、ローカルテーブルの最初のストリームが作成されると、非表示の列のペアがテーブルに自動的に追加され、変更追跡メタデータの保存が開始されます。共有のコンシューマーはソースデータベースを変更できないため、この変更は共有テーブルでは不可能です。代わりに、共有を目的としたテーブルの変更の追跡を有効にするには、各テーブルで ALTER TABLE ... CHANGE_TRACKING = TRUE を実行します。
- テーブルのデータ保持期間を延長する:
ローカルテーブルのストリームが定期的に消費されない場合、Snowflakeは古さを回避するために、ソーステーブルのデータ保持期間を一時的に延長します。
共有テーブルのストリームは、テーブルのデータ保持期間を延長しません。同様に、共有ビューのストリームは、基になるテーブルのデータ保持期間を延長しません。共有テーブルまたは共有ビューの基になるテーブルに長期のデータ保持期間を手動で指定するには、テーブルの DATA_RETENTION_TIME_IN_DAYS パラメーターを設定します。
共有タグの参照
データ共有プロバイダーは、オブジェクトにタグを設定し、タグとタグ付きオブジェクトの両方をデータ共有コンシューマーと共有することができます。さらに、コンシューマーは共有オブジェクトのタグ参照を利用できます。タグ参照を共有すると、プロバイダーは、タグ文字列の値に基づいたテーブルまたは列のデータ感度など、共有オブジェクトに関する追加のコンテキストを共有することができます。
コンシューマーは、 SQL 使用して、共有オブジェクトのタグ割り当てを表示し、共有オブジェクトのタグ参照を決定することができます。共有オブジェクトのタグ割り当てと参照を表示すると、コンシューマーアカウント内のデータスチュワードは、データの出所とデータの使用方法について、より包括的に評価することができます。このような新しい洞察により、規制遵守要件を促進することができます。
プロバイダーは、タグ付けされたオブジェクトと同じデータベースにタグを作成し、このデータベースを共有する必要があります。データベースを共有した後、プロバイダーが共有オブジェクトからタグの設定を解除すると、タグの割り当て変更はコンシューマーアカウントでも発生します。タグの設定が解除されると、コンシューマーはタグを使用して共有オブジェクトを追跡できなくなります。タグの設定を解除することにより、プロバイダーは、オブジェクトに不注意にタグが付けられた場合でも、データの裁量権を維持できます。
タグ系統、共有データベース内のタグ付きオブジェクトに適用されます。たとえば、プロバイダーが共有データベース内のスキーマにタグを設定すると、そのスキーマ内のオブジェクトと列にもタグが設定されます。しかし、コンシューマーは、Information Schema TAG_REFERENCES テーブル関数を使用して、プロバイダーがタグを最初に設定した場所を特定することはできません。Snowflakeは、タグが最初に設定された場所を明らかにしないことによってデータプロバイダーを保護するために、テーブル関数の出力で LEVEL 列の値を非表示にします。
重要
共有タグは読み取り専用です。コンシューマーは、自分のアカウントのオブジェクトに共有タグを設定することはできません。
- プロバイダーオプション
プロバイダーには、タグを共有するために以下のオプションがあります。
SQL を使用して、共有がタグにアクセスすることを許可し、コンシューマーが共有オブジェクト上の共有タグの割り当てを表示できるようにします。
プロバイダーは、コンシューマーがタグを利用できるようにするために、各タグに対する READ 権限を付与する必要があります。
GRANT READ ON TAG mydb.tags.tag1 TO SHARE my_share;
GRANT USAGE ON DATABASE mydb TO SHARE my_share;
GRANT USAGE ON SCHEMA mydb.tags TO SHARE my_share;
データベースロールを作成 し、タグに対する READ 権限をデータベースロールに付与し、 データベースロールを共有に付与 します。データベースロールには、タグを格納するスキーマに対する USAGE 権限も必要です。
GRANT READ ON TAG mydb.tags.tag1 TO DATABASE ROLE my_db_role;
GRANT USAGE ON SCHEMA mydb.tags TO DATABASE ROLE my_db_role;
GRANT DATABASE ROLE my_db_role TO SHARE my_share;
- コンシューマーオプション
コンシューマーには、コンシューマーアカウントで共有タグを表示するために以下のオプションがあります。
ACCOUNTADMIN ロールを使用します。コンシューマーアカウントの管理者は、プロバイダーが利用可能にした共有タグを表示できます。
IMPORTED PRIVILEGES のあるロールを使用します。共有から作成されたデータベースに対する IMPORTED PRIVILEGES を持つロールを付与されたか継承したアカウントロールは、プロバイダーが利用可能にした共有タグを表示することができます。
GRANT IMPORTED PRIVILEGES ON DATABASE db_share TO ROLE db_share_role;
共有データベースロールを使用します。プロバイダーがタグに対する READ 権限をデータベースロールに付与し、データベースロールを共有する場合、コンシューマーは共有されたデータベースロールを自分のアカウントのアカウントロールに付与することができます。
GRANT DATABASE ROLE my_db_role TO ROLE consumer_analyst_role;
コンシューマーアカウントでは、 SQL を使用して、プロバイダーが共有するタグ、タグ参照、タグ付きオブジェクトを表示できます。
現在、コンシューマーアカウントでは、プロバイダーが共有するタグ、タグ参照、タグ付きオブジェクトを表示するために、以下のオプションを使用することはできません。
共有の維持
共有の管理には、 OWNERSHIP 権限と CREATE SHARE グローバル権限を持つロールを使用する必要があります。
共有へのオブジェクトの追加
オブジェクトは、いつでも既存の共有に追加できます。共有に追加したオブジェクトは、共有からデータベースを作成したコンシューマーアカウントですぐに利用できます。たとえば、共有にテーブルを追加すると、コンシューマーアカウントのユーザーは、テーブルが共有に追加されるとすぐにテーブル内のデータをクエリできます。
重要
異なる リージョン または クラウドプラットフォーム のデータコンシューマーと安全にデータを共有することを予定している場合、データベースに何らかのタイプのオブジェクトが含まれている場合には、プライマリデータベースの複製がブロックされることに注意してください。更新操作が失敗する原因となるオブジェクトの完全なリストについては、 複製の現在の制限 をご参照ください。
Snowsightを使って共有にオブジェクトを追加する
Snowsight を使用して、共有に関連付けられたデータを変更するには、
Snowsight にサインインします。
Data Products » Private Sharing を選択します。
Shared by Your Account タブを選択します。
変更する共有を検索し、選択します。
Data セクションで、 Edit を選択します。
追加するデータを選択します。
Done を選択します。
注釈
ウェブインターフェイスは現在、外部テーブル、安全なマテリアライズドビュー、安全な UDFs を共有に追加、または共有から削除することをサポートしていません。共有内のオブジェクトの管理すべては、 SQL を使用して実行する必要があります。
ウェブインターフェイスを使用して、他のデータベースのオブジェクトを参照するセキュアビューを共有に追加することはできません。SQLを使用して共有を作成する必要があります。 複数データベースからのデータの共有 をご参照ください。
クラシックコンソールを使用して共有へオブジェクトを追加する
Classic Console の Shares 
ページで、 Outbound タブを選択します。
SQLを使ってオブジェクトを共有に追加する
GRANT <権限> ... TO SHARE コマンドを使用します。
次の例では、 aggregates_eula スキーマの agg_secure という名前のセキュアビューを sales_s 共有に追加します。
SHOW GRANTS TO SHARE sales_s;
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
| created_on | privilege | granted_on | name | granted_to | grantee_name | grant_option | granted_by |
|-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------|
| 2017-06-15 16:45:07.307 -0700 | USAGE | DATABASE | SALES_DB | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:10.310 -0700 | USAGE | SCHEMA | SALES_DB.AGGREGATES_EULA | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:12.312 -0700 | SELECT | TABLE | SALES_DB.AGGREGATES_EULA.AGGREGATE_1 | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
GRANT SELECT ON VIEW sales_db.aggregates_eula.agg_secure TO SHARE sales_s;
SHOW GRANTS TO SHARE sales_s;
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
| created_on | privilege | granted_on | name | granted_to | grantee_name | grant_option | granted_by |
|-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------|
| 2017-06-15 16:45:07.307 -0700 | USAGE | DATABASE | SALES_DB | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:10.310 -0700 | USAGE | SCHEMA | SALES_DB.AGGREGATES_EULA | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:12.312 -0700 | SELECT | TABLE | SALES_DB.AGGREGATES_EULA.AGGREGATE_1 | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-17 12:33:15.310 -0700 | SELECT | TABLE | SALES_DB.AGGREGATES_EULA.AGG_SECURE | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
共有からのオブジェクトの削除
オブジェクトは、いつでも既存の共有から削除できます。共有から削除したオブジェクトは、共有からデータベースを作成したコンシューマーアカウントではすぐに使用できなくなります。
たとえば、共有からテーブルを削除すると、コンシューマーアカウントのユーザーは、共有からテーブルが削除されるとすぐにテーブル内のデータをクエリできなくなります。
注釈
ウェブインターフェイスは現在、外部テーブル、安全なマテリアライズドビュー、安全な UDFs を共有に追加、または共有から削除することをサポートしていません。共有内のオブジェクトの管理すべては、 SQL を使用して実行する必要があります。
Snowsightを使用して共有オブジェクトを削除する
Snowsight を使用して、共有に関連付けられたデータを削除するには、
Snowsight にサインインします。
Data Products » Private Sharing を選択します。
Shared by Your Account タブを選択します。
変更する共有を検索し、選択します。
Data セクションで、 Edit を選択します。
共有内のデータを選択し、共有から削除するデータのチェックボックスの選択を解除します。
Done を選択します。
共有からオブジェクトを削除するためのクラシックコンソールの使用
Classic Console の Shares ページで、 Outbound タブを選択します。
SQLを使って共有からオブジェクトを削除する
REVOKE <権限> ... FROM SHARE コマンドを使用して、既存の共有からいつでもオブジェクトを削除できます。
次の例では、 aggregates_eula スキーマの agg_secure という名前のセキュアビューを sales_s 共有から削除します。
SHOW GRANTS TO SHARE sales_s;
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
| created_on | privilege | granted_on | name | granted_to | grantee_name | grant_option | granted_by |
|-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------|
| 2017-06-15 16:45:07.307 -0700 | USAGE | DATABASE | SALES_DB | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:10.310 -0700 | USAGE | SCHEMA | SALES_DB.AGGREGATES_EULA | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:12.312 -0700 | SELECT | TABLE | SALES_DB.AGGREGATES_EULA.AGGREGATE_1 | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-17 12:33:15.310 -0700 | SELECT | TABLE | SALES_DB.AGGREGATES_EULA.AGG_SECURE | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
REVOKE SELECT ON VIEW sales_db.aggregates_eula.agg_secure FROM SHARE sales_s;
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
| created_on | privilege | granted_on | name | granted_to | grantee_name | grant_option | granted_by |
|-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------|
| 2017-06-15 16:45:07.307 -0700 | USAGE | DATABASE | SALES_DB | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:10.310 -0700 | USAGE | SCHEMA | SALES_DB.AGGREGATES_EULA | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
| 2017-06-15 16:45:12.312 -0700 | SELECT | TABLE | SALES_DB.AGGREGATES_EULA.AGGREGATE_1 | SHARE | PRVDR1.SALES_S | false | ACCOUNTADMIN |
+-------------------------------+-----------+------------+--------------------------------------+------------+----------------+--------------+--------------+
共有へのアカウントの追加
アカウントは、いつでも既存の共有に追加できます。アカウントが共有に追加されると、共有はすぐにアカウントに「表示」され、アカウントは共有からデータベースを作成し、データベース内のSnowflakeオブジェクトのクエリを開始できます。
Snowsightを使用して共有へアカウントを追加する
Snowsight を使用して、コンシューマーを既存の共有に追加するには、
Snowsight にサインインします。
Data Products » Private Sharing を選択します。
Shared by Your Account タブを選択します。
変更する共有を検索します。
Shared With セクションで、 Add Consumers を選択します。
Share With Snowflake Accounts には、1つ以上のアカウントロケーターを入力します。アカウントロケーターの一部を入力すると、一致するすべてのアカウントがリストされます。
Add を選択します。
共有にアカウントを追加するためにクラシックコンソールを使用する
Classic Console の Shares ページで、 Outbound タブを選択します。
アカウントを追加するときに、フルアカウントまたはリーダーアカウントの追加を選択できます。また、その場でリーダーアカウントを作成し、共有に追加することもできます。
SQLを使って共有にアカウントを追加する
SQL を使用して、コンシューマー既存の共有に追加するには、 ALTER SHARE コマンドを使用します。
共有からのアカウントの削除
アカウントは、いつでも既存の共有から削除できます。共有からアカウントを削除すると、共有から作成したデータベースが即座に無効になります。アカウントのユーザーがデータベースに対して実行するすべてのクエリ、およびその他の操作は機能しなくなります。
共有からアカウントを削除した後、共有に再度追加できます。ただし、以前に共有から作成したデータベースは復元されません。共有から新しいデータベースを作成する必要があります。
注釈
共有からアカウントを削除する前に、アカウントの削除がアカウントに与えるダウンストリームの影響を考慮します。データベースは即座に無効になるため、ユーザー（アカウント内）がデータベースに対して実行するすべてのクエリやその他の操作は機能しなくなり、アカウントのビジネスオペレーションに大きな影響を与える可能性があります。
Snowsightを使用して共有からアカウントを削除する
Snowsight を使用して、既存の共有からコンシューマーを削除するには、
Snowsight にサインインします。
Data Products » Private Sharing を選択します。
Shared by Your Account タブを選択します。
変更する共有を検索し、選択します。
Shared With セクションで、 ... » Remove を選択します。
確認ダイアログで、 Remove を選択します。
共有からオブジェクトを削除するためにクラシックコンソールを使用する
Classic Console の Shares ページで、 Outbound タブを選択します。
SQLを使用して共有からアカウントを削除する
ALTER SHARE コマンドを使用して、既存の共有からアカウントを削除します。
共有のアカウントの新しいリストを設定し、目的のアカウントをリストから外して、共有からアカウントを削除します。
共有のドロップ
共有は、随時ドロップ（削除）できます。共有をドロップすると、共有からコンシューマーアカウントによって作成されたすべてのデータベースが即座に無効になります。これらのデータベースで実行されるすべてのクエリおよびその他の操作は機能しなくなります。
共有をドロップした後、同じ名前で共有を再作成できます。ただし、これにより、コンシューマーアカウントによる共有から作成されたデータベースは復元されません。再作成された共有は新しい共有として扱われ、すべてのコンシューマーアカウントは新しい共有から新しいデータベースを作成する必要があります。
注釈
共有をドロップする前に、共有を使用するすべてのコンシューマーアカウントに与えるダウンストリームの影響を考慮します。
代わりに、共有から個々のオブジェクトを削除することも検討できます。削除されたオブジェクトは、コンシューマーアカウントの側で追加のタスクを必要とせずに共有に追加できます。
Snowsightを使って共有をドロップする
Snowsight を使用して共有をドロップするには、
Snowsight にサインインします。
Data Products » Private Sharing を選択します。
Shared by Your Account タブを選択します。
ドロップする共有を検索し、選択します。
... » Drop を選択します。
確認ダイアログで、 Drop を選択します。
クラシックコンソールを使用して共有を削除する
Classic Console の Shares ページで、 Outbound タブを選択します。