Snowflake Aggregation Policiesで集約を強制しプライバシーを保護する方法

Aggregation Policyは、Snowflakeが提供するデータガバナンス機能の一つで、 クエリ結果に含まれる各集約グループが最小行数（MIN_GROUP_SIZE）を満たしていることを強制します。 個人や少数グループのデータが推測されるリスクを構造的に排除でき、Enterprise Edition以上で利用可能です。

なぜ集約を強制する必要があるのか

データ分析においてGROUP BYで集計した結果、特定グループの行数が1〜2件しかない場合、 その集計値から個人を特定できるリスクがあります。たとえば「地域＝北海道、年齢＝65歳以上、疾患＝糖尿病」 のグループが1件しか存在しなければ、平均値や合計値はそのまま個人の値を意味します。 Aggregation Policyはこのような小グループ攻撃（Small Group Attack）を防止します。

CREATE AGGREGATION POLICY構文

-- 基本的なAggregation Policyの作成
CREATE OR REPLACE AGGREGATION POLICY privacy_db.policies.min_group_5
  AS () RETURNS AGGREGATION_CONSTRAINT ->
    AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5);

-- 条件付きポリシー：ロールによって集約制約を変える
CREATE OR REPLACE AGGREGATION POLICY privacy_db.policies.role_based_agg
  AS () RETURNS AGGREGATION_CONSTRAINT ->
    CASE
      WHEN CURRENT_ROLE() IN ('DATA_SCIENTIST', 'ADMIN')
        THEN AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 0)
      WHEN CURRENT_ROLE() = 'ANALYST'
        THEN AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5)
      ELSE
        AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 20)
    END;

ポリシー本体はSQL式で記述し、AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => N)を返します。 MIN_GROUP_SIZEを0にすると集約制約なし（生データアクセス可能）になります。 CASE式でCURRENT_ROLE()やIS_ROLE_IN_SESSION()を使えば、ロール別に制約レベルを切り替えられます。

テーブル・ビューへの適用

-- テーブルにAggregation Policyを適用
ALTER TABLE medical_db.public.patient_records
  SET AGGREGATION POLICY privacy_db.policies.min_group_5;

-- ENTITYキーを指定して適用（エンティティ単位の集約を強制）
ALTER TABLE medical_db.public.patient_records
  SET AGGREGATION POLICY privacy_db.policies.min_group_5
  ENTITY KEY (patient_id);

-- ビューにも適用可能
ALTER VIEW medical_db.public.patient_summary
  SET AGGREGATION POLICY privacy_db.policies.min_group_5
  ENTITY KEY (patient_id);

-- ポリシーの解除
ALTER TABLE medical_db.public.patient_records
  UNSET AGGREGATION POLICY;

ENTITY KEYの役割

ENTITY KEYを指定すると、MIN_GROUP_SIZEの判定が「行数」ではなく「一意のエンティティ数」で行われます。 たとえばENTITY KEY (patient_id)でMIN_GROUP_SIZE=5の場合、 各グループに5人以上の患者が含まれていないとクエリが拒否されます。 1人の患者が複数行を持つ場合でも、行数ではなく患者数でカウントされる点が重要です。

ポリシー適用後のクエリ動作

-- ポリシー適用テーブルへのクエリ例
-- MIN_GROUP_SIZE=5 / ENTITY KEY=patient_id の場合

-- OK: 各地域に5人以上の患者がいれば成功
SELECT region, AVG(age) AS avg_age, COUNT(*) AS cnt
FROM medical_db.public.patient_records
GROUP BY region;

-- NG: 特定地域の患者が5人未満なら全体がエラー
-- Error: Aggregation policy violation

-- 対処法: HAVINGで小グループを除外
SELECT region, AVG(age) AS avg_age, COUNT(*) AS cnt
FROM medical_db.public.patient_records
GROUP BY region
HAVING COUNT(DISTINCT patient_id) >= 5;

-- 集約なしのSELECT *はブロック（MIN_GROUP_SIZE > 0の場合）
SELECT * FROM medical_db.public.patient_records;
-- Error: Query does not contain an aggregate function

ガバナンスポリシー比較表

ポリシー管理SQL

-- 定義済みポリシーの一覧
SHOW AGGREGATION POLICIES IN SCHEMA privacy_db.policies;

-- ポリシーの詳細を確認
DESCRIBE AGGREGATION POLICY privacy_db.policies.min_group_5;

-- ポリシーの適用先を確認
SELECT *
FROM TABLE(
  INFORMATION_SCHEMA.POLICY_REFERENCES(
    POLICY_NAME => 'privacy_db.policies.min_group_5'
  )
);

-- Account Usageビューで全ポリシー参照を確認
SELECT policy_name, ref_entity_name, ref_entity_domain
FROM SNOWFLAKE.ACCOUNT_USAGE.POLICY_REFERENCES
WHERE policy_kind = 'AGGREGATION_POLICY';

-- ポリシーの削除（適用解除が先に必要）
DROP AGGREGATION POLICY privacy_db.policies.min_group_5;

必要な権限

設計・運用ベストプラクティス

• 専用スキーマでポリシーを集中管理：privacy_db.policiesのようなスキーマにすべてのAggregation Policyをまとめ、APPLY権限を特定ロールのみに付与する
• ENTITY KEYを必ず指定：行数ベースだと重複レコードで実質的な保護レベルが下がるため、エンティティの主キーを指定する
• テスト環境でMIN_GROUP_SIZEを検証：既存クエリのうちどの程度がポリシー違反となるか事前に調査し、分析チームへ周知する
• 条件付きポリシーで段階的導入：まずADMINロールはMIN_GROUP_SIZE=0で除外し、分析ロールのみに制約をかけて段階的に展開する
• Masking PolicyやRow Access Policyと組み合わせる：集約制約だけでなく、センシティブ列のマスキングや行レベルフィルタも併用して多層防御を構築する

問題で確認

よくある質問