Snowflake ACCESS_HISTORYで列レベル追跡

SNOWFLAKE.ACCOUNT_USAGE.ACCESS_HISTORYは、 Snowflakeアカウント内で実行されたすべてのクエリに対して、どのオブジェクトのどの列にアクセスしたかを列レベルで記録するビューです。 GDPR / CCPA / SOX法などのコンプライアンス要件に対応する監査証跡として、 またデータリネージュの追跡基盤として活用されます。Enterprise Edition以上で利用可能です。

ACCESS_HISTORYの構造

ACCESS_HISTORYビューには複数のSEMI-STRUCTURED列（ARRAY / OBJECT型）が含まれており、 それぞれ異なるレベルのアクセス情報を記録しています。

direct_objects_accessed vs base_objects_accessed

-- 例: ビュー経由でテーブルにアクセスした場合
-- CREATE VIEW v_customers AS SELECT name, email FROM customers;
-- SELECT name FROM v_customers;

-- direct_objects_accessed の内容:
-- [{ "objectName": "V_CUSTOMERS",
--    "objectDomain": "View",
--    "columns": [{"columnName": "NAME"}] }]

-- base_objects_accessed の内容:
-- [{ "objectName": "CUSTOMERS",
--    "objectDomain": "Table",
--    "columns": [{"columnName": "NAME"}] }]

-- → ビュー V_CUSTOMERS を直接参照したが、
--   実際にアクセスされたベーステーブルは CUSTOMERS の NAME 列

READ操作の監査クエリ

-- 特定テーブルの列にアクセスしたユーザーと頻度を分析
SELECT
  ah.user_name,
  bo.value:objectName::STRING AS table_name,
  col.value:columnName::STRING AS column_name,
  COUNT(*) AS access_count,
  MIN(ah.query_start_time) AS first_access,
  MAX(ah.query_start_time) AS last_access
FROM SNOWFLAKE.ACCOUNT_USAGE.ACCESS_HISTORY ah,
  LATERAL FLATTEN(input => ah.base_objects_accessed) bo,
  LATERAL FLATTEN(input => bo.value:columns) col
WHERE ah.query_start_time >= DATEADD(DAY, -30, CURRENT_TIMESTAMP())
  AND bo.value:objectName::STRING = 'CUSTOMERS'
GROUP BY 1, 2, 3
ORDER BY access_count DESC;

WRITE操作の監査クエリ

-- テーブルへのWRITE操作を追跡
SELECT
  ah.query_id,
  ah.user_name,
  ah.query_start_time,
  om.value:objectName::STRING AS modified_table,
  om.value:objectDomain::STRING AS object_type,
  col.value:columnName::STRING AS modified_column
FROM SNOWFLAKE.ACCOUNT_USAGE.ACCESS_HISTORY ah,
  LATERAL FLATTEN(input => ah.objects_modified) om,
  LATERAL FLATTEN(input => om.value:columns) col
WHERE ah.query_start_time >= DATEADD(DAY, -7, CURRENT_TIMESTAMP())
  AND om.value:objectName::STRING = 'CUSTOMER_PII'
ORDER BY ah.query_start_time DESC;

policies_referenced による ポリシー監査

クエリ実行時にマスキングポリシーや行アクセスポリシーが評価された場合、policies_referenced列にポリシー名と種類が記録されます。 これにより「どのポリシーがどの頻度で適用されているか」を可視化できます。

-- マスキングポリシーの適用状況を分析
SELECT
  pol.value:policyName::STRING AS policy_name,
  pol.value:policyKind::STRING AS policy_kind,
  COUNT(DISTINCT ah.query_id) AS query_count,
  COUNT(DISTINCT ah.user_name) AS user_count
FROM SNOWFLAKE.ACCOUNT_USAGE.ACCESS_HISTORY ah,
  LATERAL FLATTEN(input => ah.policies_referenced) pol
WHERE ah.query_start_time >= DATEADD(DAY, -30, CURRENT_TIMESTAMP())
GROUP BY 1, 2
ORDER BY query_count DESC;

データリネージュの構築

ACCESS_HISTORYのbase_objects_accessedとobjects_modifiedを 組み合わせることで、「どのテーブルのデータがどのテーブルに流れたか」という データリネージュ（データ系譜）を構築できます。

-- データフロー（ソーステーブル → ターゲットテーブル）の可視化
SELECT
  bo.value:objectName::STRING AS source_table,
  om.value:objectName::STRING AS target_table,
  ah.user_name,
  COUNT(*) AS flow_count,
  MAX(ah.query_start_time) AS latest_flow
FROM SNOWFLAKE.ACCOUNT_USAGE.ACCESS_HISTORY ah,
  LATERAL FLATTEN(input => ah.base_objects_accessed) bo,
  LATERAL FLATTEN(input => ah.objects_modified) om
WHERE ah.query_start_time >= DATEADD(DAY, -30, CURRENT_TIMESTAMP())
  AND ARRAY_SIZE(ah.objects_modified) > 0
GROUP BY 1, 2, 3
ORDER BY flow_count DESC;

機密列アクセスの検出

-- PII列（email, ssn, phone等）へのアクセスを検出
SELECT
  ah.user_name,
  bo.value:objectName::STRING AS table_name,
  col.value:columnName::STRING AS column_name,
  COUNT(*) AS access_count
FROM SNOWFLAKE.ACCOUNT_USAGE.ACCESS_HISTORY ah,
  LATERAL FLATTEN(input => ah.base_objects_accessed) bo,
  LATERAL FLATTEN(input => bo.value:columns) col
WHERE ah.query_start_time >= DATEADD(DAY, -7, CURRENT_TIMESTAMP())
  AND col.value:columnName::STRING IN ('EMAIL', 'SSN', 'PHONE_NUMBER', 'CREDIT_CARD')
GROUP BY 1, 2, 3
ORDER BY access_count DESC;

ユースケースまとめ

ベストプラクティス

• LATERAL FLATTENでARRAY列をリレーショナルに展開：base_objects_accessedやpolicies_referencedはARRAY型のため、LATERAL FLATTENで行に展開してから集計する
• 日次の監査レポートをTaskで自動生成：PII列へのアクセスサマリーをTaskで定期集計し、異常検出時にアラートを発報する
• Tag-based Maskingとの連携：タグで機密列を分類し、ACCESS_HISTORYのpolicies_referencedでポリシー適用状況を監査する
• ドロップ済みオブジェクトの追跡にも有効：ACCOUNT_USAGEは365日間の履歴を保持するため、すでにドロップされたテーブルへの過去のアクセスも追跡可能

問題で確認

よくある質問