Snowflake Projection Policies: 列投影制御でデータを守る

Projection Policyは、テーブルの特定の列がSELECTリストに投影（projection）されること自体を制御するSnowflakeのデータガバナンス機能です。 Masking Policyがデータ値を変換して返すのに対し、Projection Policyは列の出力そのものを許可または禁止します。 禁止された列をSELECTしようとするとクエリがエラーになるため、機密列の存在自体をクエリ結果から完全に排除できます。Enterprise Edition以上で利用可能です。

Masking PolicyとProjection Policyの違い

Projection Policyの作成と適用

-- Projection Policyの作成
CREATE OR REPLACE PROJECTION POLICY pp_hide_ssn
  AS () RETURNS PROJECTION_CONSTRAINT ->
  CASE
    WHEN IS_ROLE_IN_SESSION('HR_ADMIN')
      THEN PROJECTION_CONSTRAINT(ALLOW => TRUE)
    ELSE PROJECTION_CONSTRAINT(ALLOW => FALSE)
  END;

-- テーブルの列にアタッチ
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  SET PROJECTION POLICY pp_hide_ssn;

-- ポリシーの解除
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  UNSET PROJECTION POLICY;

動作確認

-- HR_ADMINロールでアクセス（投影が許可される）
USE ROLE HR_ADMIN;
SELECT employee_id, name, ssn FROM hr.employees;
-- 結果: employee_id, name, ssn が全て返される

-- ANALYSTロールでアクセス（投影が禁止される）
USE ROLE ANALYST;
SELECT employee_id, name, ssn FROM hr.employees;
-- ERROR: Projection policy violation

-- SSN列を除外すればクエリは成功
SELECT employee_id, name FROM hr.employees;
-- 結果: employee_id, name が返される

-- SELECT * もSSN列を含むためエラー
SELECT * FROM hr.employees;
-- ERROR: Projection policy violation

-- WHERE句でSSN列を参照してもエラー
SELECT employee_id, name FROM hr.employees
WHERE ssn = '123-45-6789';
-- ERROR: Projection policy violation

Secure View代替パターン

従来、列の非表示はSecure Viewで実現するのが一般的でした。 Projection Policyを使うと、ビューを個別に作成せずにテーブルレベルで直接制御できます。

-- 従来のSecure View方式：列の除外はView定義に依存
CREATE OR REPLACE SECURE VIEW hr.employees_analyst AS
SELECT employee_id, name, department, hire_date
FROM hr.employees;
-- SSN列はView定義から除外 → ANALYSTはこのViewを使う

-- Projection Policy方式：テーブルに直接制御を適用
-- View不要で、テーブルを直接クエリしても列が制御される
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  SET PROJECTION POLICY pp_hide_ssn;
ALTER TABLE hr.employees
  ALTER COLUMN salary
  SET PROJECTION POLICY pp_hide_salary;
-- ANALYSTは直接テーブルをクエリでき、制限列だけが使えない

方式別の比較

必要な権限

-- Projection Policyの作成権限
GRANT CREATE PROJECTION POLICY ON SCHEMA security
  TO ROLE policy_admin;

-- Projection Policyのアタッチ権限
GRANT APPLY PROJECTION POLICY ON ACCOUNT
  TO ROLE policy_admin;

-- ポリシー一覧の確認
SHOW PROJECTION POLICIES IN SCHEMA security;

-- ポリシーの詳細確認
DESCRIBE PROJECTION POLICY pp_hide_ssn;

Tag-based Projection Policy

Object Taggingと組み合わせて、特定のタグが付与された列に自動的にProjection Policyを適用できます。 新しい列にタグを付けるだけでポリシーが自動適用されるため、大規模環境でのガバナンス管理が効率化します。

-- タグの作成
CREATE TAG governance.pii_level
  ALLOWED_VALUES 'HIGH', 'MEDIUM', 'LOW';

-- Projection Policyをタグに紐づけ
ALTER TAG governance.pii_level
  SET PROJECTION POLICY pp_hide_ssn;

-- 列にタグを設定（自動的にProjection Policyが適用される）
ALTER TABLE hr.employees
  ALTER COLUMN ssn
  SET TAG governance.pii_level = 'HIGH';

問題で確認

よくある質問