目次 › 第7章 › 7-4

第7章 ガバナンスとセキュリティ / 想定学習時間:30〜40分 / 最終確認:2026年8月

7-4. Unity Catalog ABACポリシーによる集中管理

1. ABAC とは:「誰に」ではなく「どんな属性のデータか」で制御する

7-2 で学んだ GRANT / REVOKE は、「このグループに、このテーブルの権限を与える」というオブジェクトとロールの対応付け、いわゆる RBAC(ロールベースアクセス制御)的な考え方でした。7-3 のマスク/フィルタも、対象テーブルを1つずつ指定して取り付ける個別適用です。これらは対象が数十テーブルなら十分機能しますが、数千テーブル規模になると「PII を含むテーブルを漏れなく洗い出し、1つずつ ALTER TABLE する」という運用自体が破綻します。

ABAC(Attribute-Based Access Control:属性ベースアクセス制御)は、この問題を「データ資産に付いた属性(タグ)を条件にポリシーを書く」ことで解決します。Unity Catalog の ABAC では次の2つを組み合わせます。

• governed tags(統制タグ):管理者がキーと許可される値をあらかじめ定義し、誰がどの資産に付与できるかを統制できるタグです。たとえばキー classification に対して値 pii / confidential / public だけを許可する、といった定義をします。自由記述のタグと違い、表記ゆれ(PII、pii_data…)でポリシーがすり抜ける事故を防げます。
• ABAC ポリシー:「特定のタグが付いた列・テーブルに対して、行フィルタやカラムマスクを自動適用する」というルールです。カタログやスキーマなどの単位で定義し、その配下でタグ条件に合致した資産すべてに効きます。

-- イメージ:カタログ main 配下で、pii タグ付きの列をマスクするポリシー
CREATE POLICY pii_mask_policy
ON CATALOG main
COMMENT 'PIIタグ付き列の一括マスク'
COLUMN MASK main.security.mask_string
TO `account users`
EXCEPT `pii_readers`
FOR TABLES
MATCH COLUMNS has_tag_value('classification', 'pii') AS col
ON COLUMN col;

2. RBAC・個別マスク/フィルタとの違い

ABAC は 7-2・7-3 の仕組みを置き換えるものではなく、その上に乗る集中管理層です。実際、ABAC ポリシーが適用する中身は 7-3 で学んだ行フィルタとカラムマスクそのものです。違いは「取り付け方」にあります。

3. ポリシーの構成要素

ABAC ポリシーは、おおまかに次の4つの要素で構成されます。

• 対象範囲(scope):ポリシーをどこに定義するか。カタログやスキーマに定義すると、その配下の全資産が評価対象になります。
• プリンシパル:誰に効かせるか。TO で対象(例:account users = 全ユーザー)、EXCEPT で除外(例:許可グループ)を指定します。
• タグ条件(match condition):どの資産に効かせるか。「この governed tag のこの値が付いた列/テーブル」という条件で書きます。
• アクション:合致したときに何をするか。カラムマスクの適用または行フィルタの適用(使う UDF の指定)です。

運用の流れとしては、「①管理者が governed tags のキー・許可値を定義 → ②セキュリティ担当がマスク/フィルタ用 UDF とポリシーを作成 → ③各チームは自分のテーブル・列に適切なタグを付けるだけ」という役割分担になります。タグ付けは自動分類機能やデータカタログ整備の一環として進められるため、セキュリティ設定そのものを各チームに配る必要がなくなります。

4. 大規模組織でのメリット

• 適用漏れの構造的防止:新しいテーブルが毎日増えても、タグさえ付けばポリシーが自動で効きます。「テーブルを作った人がマスクの適用を忘れる」という人為ミスがなくなります。
• 監査の一貫性:「PII はどう保護されているか?」に対して「このポリシー1つです」と答えられます。テーブルごとにバラバラの UDF・ビュー・設定を棚卸しする必要がなく、監査対応のコストが大きく下がります。
• 変更の一括反映:マスク方式を変えたい(例:伏字からハッシュ化へ)場合も、ポリシーが参照する UDF を差し替えるだけで全対象に反映されます。
• governed tags による統制:タグのキー・値・付与権限が管理されているため、「タグの表記ゆれでポリシーが効かない」事故を防げます。

5. 第7章のまとめ:ガバナンス機能の使い分け

最後に、第7章で学んだガバナンス機能を「要件からの逆引き」で整理します。

土台にはつねに 7-2 のアクセス制御(そもそも読めるか)があり、その上で 7-3 が「読める人の中での見え方」を制御し、7-4 の ABAC がそれを組織規模で自動化する、という積み重ねの関係です。

練習問題