Snowflake Object Tagging実践ガイド: 分類・ガバナンス・Tag-based Masking

Object Taggingは、Snowflakeのデータベースオブジェクト（テーブル、ビュー、列、スキーマ、データベース等）に キー・バリュー形式のメタデータタグを付与する機能です。データ分類（PII、機密度等）、コスト配分、コンプライアンス管理に利用され、 Tag-based Masking/Row Access Policyと連携することで、タグの値に基づいた自動的なデータ保護を実現します。Enterprise Edition以上で利用可能です。

タグの作成

-- 基本的なタグの作成
CREATE TAG governance.data_classification;

-- 許可値を制限したタグの作成
CREATE TAG governance.pii_level
  ALLOWED_VALUES 'HIGH', 'MEDIUM', 'LOW', 'NONE';

-- コスト配分用タグ
CREATE TAG governance.cost_center
  ALLOWED_VALUES 'ENGINEERING', 'MARKETING', 'FINANCE', 'HR';

-- タグにコメントを追加
CREATE TAG governance.data_owner
  COMMENT = 'データオーナーの部門名を管理するタグ';

タグの設定（テーブル・列への付与）

-- テーブルにタグを設定
ALTER TABLE hr.employees
  SET TAG governance.data_classification = 'CONFIDENTIAL';

-- 列にタグを設定
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  SET TAG governance.pii_level = 'HIGH';

ALTER TABLE hr.employees
  ALTER COLUMN email
  SET TAG governance.pii_level = 'MEDIUM';

ALTER TABLE hr.employees
  ALTER COLUMN department
  SET TAG governance.pii_level = 'NONE';

-- スキーマにタグを設定（配下のオブジェクトに継承される）
ALTER SCHEMA hr
  SET TAG governance.data_owner = 'HR_DEPARTMENT';

-- データベースにタグを設定
ALTER DATABASE analytics
  SET TAG governance.cost_center = 'ENGINEERING';

-- ウェアハウスにタグを設定
ALTER WAREHOUSE compute_wh
  SET TAG governance.cost_center = 'ENGINEERING';

-- タグの値を変更
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  SET TAG governance.pii_level = 'MEDIUM';

-- タグの解除
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  UNSET TAG governance.pii_level;

Tag-based Masking連携

Tag-based Maskingは、タグの値に基づいて自動的にMasking PolicyやRow Access Policyを適用する仕組みです。 タグにポリシーを紐づけておくと、そのタグが設定された列に自動的にポリシーが適用されます。 列にタグを追加するだけでポリシーが適用されるため、大量のテーブル・列を持つ環境でのガバナンス管理が効率化します。

-- PII HIGH用のMasking Policy
CREATE OR REPLACE MASKING POLICY mask_pii_high
  AS (val VARCHAR) RETURNS VARCHAR ->
  CASE
    WHEN IS_ROLE_IN_SESSION('DATA_STEWARD') THEN val
    WHEN IS_ROLE_IN_SESSION('COMPLIANCE') THEN val
    ELSE '********'
  END;

-- PII MEDIUM用のMasking Policy
CREATE OR REPLACE MASKING POLICY mask_pii_medium
  AS (val VARCHAR) RETURNS VARCHAR ->
  CASE
    WHEN IS_ROLE_IN_SESSION('DATA_STEWARD') THEN val
    ELSE CONCAT(LEFT(val, 2), '****')
  END;

-- タグにMasking Policyを紐づけ
ALTER TAG governance.pii_level
  SET MASKING POLICY mask_pii_high;

-- タグの値ごとに異なるポリシーを紐づけることも可能
-- （ただし1つのタグに対してデータ型ごとに1つのポリシー）

-- これにより、pii_level = 'HIGH' のタグが設定された
-- 全ての列に自動的にmask_pii_highが適用される

TAG_REFERENCES関数による監査

-- 特定テーブルに設定されたタグを確認
SELECT *
FROM TABLE(
  INFORMATION_SCHEMA.TAG_REFERENCES('hr.employees', 'TABLE')
);

-- 特定列に設定されたタグを確認
SELECT *
FROM TABLE(
  INFORMATION_SCHEMA.TAG_REFERENCES('hr.employees.ssn', 'COLUMN')
);

-- テーブル内の全列のタグを一括確認
SELECT *
FROM TABLE(
  INFORMATION_SCHEMA.TAG_REFERENCES_ALL_COLUMNS('hr.employees', 'TABLE')
);

-- Account Usageビューでアカウント全体のタグ使用状況を確認
SELECT
  tag_name,
  tag_value,
  object_name,
  column_name,
  domain  -- TABLE, COLUMN, SCHEMA, DATABASE, WAREHOUSE等
FROM SNOWFLAKE.ACCOUNT_USAGE.TAG_REFERENCES
WHERE tag_name = 'PII_LEVEL'
ORDER BY object_name;

-- 特定タグの値ごとのオブジェクト数を集計
SELECT
  tag_value,
  domain,
  COUNT(*) AS object_count
FROM SNOWFLAKE.ACCOUNT_USAGE.TAG_REFERENCES
WHERE tag_name = 'PII_LEVEL'
GROUP BY tag_value, domain
ORDER BY tag_value;

タグの継承（Tag Lineage）

下位オブジェクトに直接タグを設定した場合、その値は継承値より優先されます。 例えばスキーマにpii_level = 'LOW'を設定し、特定の列にpii_level = 'HIGH'を設定すると、 その列では'HIGH'が有効になります。

必要な権限

-- タグの作成権限
GRANT CREATE TAG ON SCHEMA governance TO ROLE tag_admin;

-- タグの適用権限
GRANT APPLY TAG ON ACCOUNT TO ROLE tag_admin;

-- Tag-based Masking Policyの設定に必要な追加権限
GRANT APPLY MASKING POLICY ON ACCOUNT TO ROLE tag_admin;

-- タグの一覧確認
SHOW TAGS IN SCHEMA governance;

-- タグの詳細確認
DESCRIBE TAG governance.pii_level;

問題で確認

よくある質問