7-3. 列レベルマスキングと行レベルセキュリティ

💡 具体例:メールアドレス列をマスクする

-- 手順1:マスキング関数(SQL UDF)を作成する
--   引数の型はマスク対象列と互換であること
CREATE OR REPLACE FUNCTION main.security.mask_email(email STRING)
RETURNS STRING
RETURN CASE
  WHEN is_account_group_member('pii_readers') THEN email  -- 許可グループには生値
  ELSE '***MASKED***'                                     -- それ以外は伏字
END;

-- 手順2:テーブルの列にマスクを適用する
ALTER TABLE main.crm.customers
  ALTER COLUMN email SET MASK main.security.mask_email;

-- 解除する場合
ALTER TABLE main.crm.customers
  ALTER COLUMN email DROP MASK;

適用後は、pii_readers グループのメンバーが SELECT email FROM main.crm.customers を実行すると生のメールアドレスが、それ以外のユーザーには ***MASKED*** が返ります。クエリを書き換える必要はなく、同じテーブルへの同じクエリで、実行者によって結果だけが変わるのがポイントです。

💡 具体例:担当地域の行だけを見せる

-- 手順1:フィルタ関数を作成する(BOOLEAN を返す)
CREATE OR REPLACE FUNCTION main.security.region_filter(region STRING)
RETURNS BOOLEAN
RETURN
  is_account_group_member('sales_admins')                       -- 管理者は全行
  OR (is_account_group_member('sales_east') AND region = 'east') -- 東日本担当は east のみ
  OR (is_account_group_member('sales_west') AND region = 'west'); -- 西日本担当は west のみ

-- 手順2:テーブルに行フィルタを適用する
--   ON (列名) で、テーブルのどの列を UDF の引数に渡すかを指定する
ALTER TABLE main.sales.orders
  SET ROW FILTER main.security.region_filter ON (region);

-- 解除する場合
ALTER TABLE main.sales.orders DROP ROW FILTER;

適用後、sales_east のメンバーが SELECT count(*) FROM main.sales.orders を実行すると、east の行だけを数えた結果が返ります。フィルタされた行は存在自体が見えなくなるため、集計結果も自動的に「本人が見てよい範囲」のものになります。

💡 具体例:動作確認の方法

適用後は必ず許可グループのメンバーと非メンバーの両方の立場で同じクエリを実行し、結果が意図どおり変わることを確認します。自分がどのグループに属しているかは SELECT is_account_group_member('pii_readers'); で確認できます(true/false が返ります)。テーブルにどのマスク・フィルタが付いているかは、DESCRIBE EXTENDED や Catalog Explorer のテーブル詳細画面で確認できます。「マスクを適用したつもりが、検証を許可グループのアカウントだけで行ったため、伏字を一度も確認していなかった」という失敗は起こりがちなので、非許可側での確認を必ず含めてください。