目次 › 第7章 › 7-2

第7章 ガバナンスとセキュリティ / 想定学習時間:30〜40分 / 最終確認:2026年8月

7-2. アクセス制御(GRANT/REVOKE/DENY・プリンシパル・権限階層)

1. プリンシパル:権限を「誰に」与えるか

Unity Catalog のアクセス制御は「プリンシパル(principal)に権限(privilege)をセキュラブルオブジェクト(securable object)に対して与える」という3要素で構成されます。まず「誰に」にあたるプリンシパルは3種類です。

ベストプラクティスは、個々のユーザーではなくグループに権限を付与することです。人の入退社や異動のたびに GRANT 文を打ち直すのではなく、グループのメンバーシップを変えるだけで済みます。また、定期ジョブなどの自動化処理は個人アカウントではなくサービスプリンシパルで実行するのが原則です。個人アカウントで動かすと、その人の退職・権限変更でパイプラインが突然止まるリスクがあります。

2. 権限階層と継承:上位で与えれば下位に効く

UC のセキュラブルオブジェクトは階層構造になっており、上位オブジェクトに与えた権限は下位オブジェクトに継承されます。たとえばカタログに SELECT を GRANT すると、その配下のすべてのスキーマの、さらに配下のすべてのテーブルに対する SELECT が許可されます。

ここで最重要の論点が「テーブルを読むには3点セットが必要」というルールです。あるテーブルに SELECT する権限が有効になるためには、対象テーブルの SELECT だけでなく、その通り道にあたる上位オブジェクトの USE 権限もそろっていなければなりません。

• カタログへの USE CATALOG
• スキーマへの USE SCHEMA
• テーブルへの SELECT

主な権限の意味も整理しておきます。

なお、オブジェクトの所有者(owner)(作成者、または移譲された者)は、そのオブジェクトに対するすべての権限を暗黙に持ち、他プリンシパルへの GRANT も行えます。

3. GRANT / REVOKE のSQLと DENY の扱い

-- 3点セットをグループに付与する
GRANT USE CATALOG ON CATALOG main TO `analysts`;
GRANT USE SCHEMA  ON SCHEMA  main.sales TO `analysts`;
GRANT SELECT      ON TABLE   main.sales.orders TO `analysts`;

-- スキーマ配下の全テーブルを読ませたいなら、スキーマに SELECT(継承を利用)
GRANT SELECT ON SCHEMA main.sales TO `analysts`;

-- データエンジニアには書き込みとテーブル作成も
GRANT MODIFY ON TABLE main.sales.orders TO `data_engineers`;
GRANT CREATE TABLE ON SCHEMA main.sales TO `data_engineers`;

-- 自動化ジョブの実行主体(サービスプリンシパル)への付与
GRANT SELECT, MODIFY ON SCHEMA main.sales TO `etl-pipeline-sp`;

-- 取り消し
REVOKE SELECT ON TABLE main.sales.orders FROM `analysts`;

-- 現在の権限の確認
SHOW GRANTS ON TABLE main.sales.orders;

DENY については、試験ガイドの記載と実際の Unity Catalog の仕様にずれがあるため、分けて理解しておく必要があります。

-- レガシーの hive_metastore(テーブルACL)での DENY の例
-- ※ Unity Catalog ではこの DENY 文はサポートされない
GRANT SELECT ON SCHEMA hive_metastore.hr TO `analysts`;
DENY  SELECT ON TABLE  hive_metastore.hr.salaries TO `analysts`;

4. 診断:「テーブルが読めない」はどの階層が欠けているか

試験でも実務でもよく出るのが「ユーザーがテーブルにアクセスできない。原因はどれか」という診断型の問題です。チェックの手順は権限階層をそのまま上からたどります。

1. USE CATALOG はあるか(なければカタログ自体が見えない・入れない)
2. USE SCHEMA はあるか(なければスキーマの中に入れない)
3. テーブルへの SELECT(継承分含む)はあるか
4. (レガシーの hive_metastore 配下の場合のみ)どこかに DENY が登録されていないか(あれば他の GRANT に関係なく拒否)

練習問題