Unity Catalog で ABAC 行フィルタリングと列マスキングポリシー、管理対象タグ、データ分類が一般提供開始

Unity Catalogにおける自動ガバナンスによるデータ保護のスケーリング

データエステートが拡大するにつれて、機密データを大規模に管理するすべての組織は同じ疑問に直面します。PII、財務記録、医療データ、またはコンプライアンス要件の対象となるその他のデータが含まれているかどうかにかかわらず、すべてのテーブルで機密データが確実に保護されるようにするにはどうすればよいでしょうか？

AIは、この問題をさらに深刻化させます。ユーザーは、Genie、エージェント、APIなどを介して、これまで以上に多くの方法でデータにアクセスできます。保護はデータの需要に追いつく必要があります。そうしないと、アクセス制御はテクノロジーが生み出した権限付与を制限することになります。

答えは、テーブルごとの手動構成ではありえません。ガバナンスチームがルールを一度定義し、データが作成および分類されるにつれて、保護がデータエステート全体で自動的にデータに追従するシステムでなければなりません。その方法により、ユーザーやエージェントは、機密データへの広範なアクセス権を付与されることなく、プラットフォームへの広範なアクセス権を付与される可能性があります。

本日、これを可能にするUnity Catalogの3つの補完的な機能の一般提供を発表できることを嬉しく思います。行フィルタリングと列マスキングのための属性ベースのアクセス制御（ABAC）ポリシー、ガバナンスタグ、および自動データ分類です。

手動データガバナンスとアクセス制御がスケーリングしない理由

大規模な機密データ保護を妨げる3つの問題があります。

1. オブジェクトごとのアクセスルールは繰り返しが多く、一貫性に欠ける傾向があります。すべてのテーブルに独自の行フィルターまたは列マスクが必要な場合、微妙な違いが生じます。同じ列タイプに対する異なるマスキングロジック、古いテーブルの最新でないルール、チーム間の競合する定義などです。
2. オブジェクト所有者との調整に依存する強制にはギャップがあります。データプロデューサーはデータ作成の専門家ですが、すべての列が分類され、機密データが漏洩しないようにするには、かなりのオーバーヘッドが必要です。強制ステップが省略されたり、他の作業を行っている担当者で停滞したりすると、ギャップは監査またはコンプライアンスチェック中にのみ明らかになります。
3. 機密データの検出を手動で行うことは、成長に追いつけません。新しいテーブルとデータレコードは継続的に到着し、ビジネスはそれらをすぐに使用することを期待しています。検出が人間に依存する場合、または入ってくるデータのすべてのタイプに対して個々のパイプラインに手動でコーディングされた検出ロジックに依存する場合、それはデータと需要の両方に遅れをとります。

これらの課題には、手動のオブジェクトごとのガバナンスからの移行が必要です。

Unity CatalogがABAC、タグ、および分類による高レバレッジデータガバナンスを可能にする方法

アクセスルールは属性に基づいて動的に適用される必要があり、機密データは出現時に検出される必要があり、責任は専門的な役割に分散される必要があるため、単一の担当者がボトルネックになることはありません。Unity Catalogは、これらを3つの補完的な機能と、職務分掌を可能にする権限モデルと組み合わせて実現します。 属性ベースのアクセス制御（ABAC）ポリシー 、 ガバナンスタグ 、および エージェントによるデータ分類 です。

• ABACポリシーは、Unity Catalogの動的なアクセス制御モデルです。データの属性に基づいてアクセスを制御するため、単一のポリシーで多くの適合するテーブルをカバーできます。各テーブルを個別に構成する必要はありません。ABACポリシーはタグベースの条件を評価し、行フィルター（ユーザーが表示する行を制御します）と列マスク（特定の列の値をユーザーが表示する値を制御します）を、すべてのカタログとスキーマ全体で一致するすべてのオブジェクトに自動的に適用します。ガバナンス管理者はポリシーを一度定義すれば、適切なタグが配置されるとすぐに新しいデータが保護を引き継ぎます。
• ガバナンスタグは、ABACポリシーが構築される属性の基盤です。アカウント全体でデータの記述方法を標準化するキーと値のアカウントレベルの語彙であり、誰がどのオブジェクトにどのタグを適用できるかを制御する権限があります。タグは、カタログ、スキーマ、テーブル、および列にアタッチされ、親から子オブジェクトに継承されるキーまたはキーと値のペア（例：sensitivity:confidentialまたはpii:ssn）です。
• エージェントによるデータ分類は、ガバナンスとコンプライアンスのために機密データ（PII、PHIなど）を自動的に識別します。組み込みの分類子はGDPRやHIPAAなどの標準をカバーし、カスタム分類子は既にタグ付けされた列から学習したビジネス固有のパターンへの検出を拡張します。実績のあるパターン認識、メタデータ、および大規模言語モデルを使用して、手動または正規表現のみのツールよりも高い精度を提供します。新しいデータは自動的にスキャンされ、導入された機密データがキャッチされることが保証されます。一致するタグでデータを保護するABACポリシーと組み合わせることで、これらの機能は機密データの自動的かつスケーラブルな保護を保証します。

これら3つの機能は連携して、 職務分掌 をサポートするガバナンスモデルを可能にします。ガバナンスは、単一の担当者または単一の役割に依存すべきではありません。代わりに、責任は、それぞれの分野の専門家であり、作業を行うために他者に依存する必要のない専門グループに分散できます。Unity Catalogは、3つの機能すべてにわたる適切な権限と境界でこれをサポートしているため、各グループは責任のあるアクションのみを実行できます。

実践における職務分掌

これら3つの機能は連携するように設計されています。ポリシー、タグ分類法、権限、および分類はすべてUnity Catalog内で機能するため、システム間の引き継ぎはなく、検出と保護の間に手動ステップはありません。

実際には、ワークフローは次のようになります。

1. 分類法の定義： ガバナンスチームは、GDPR、HIPAA、PCIなどの標準に準拠した組み込み分類子、繰り返し可能なパターンのカスタム分類子、およびドメインや感度レベルなどのビジネスコンテキストのメタデータタグを組み合わせたガバナンスタグ分類法を確立します。
2. ABACポリシーの作成： ガバナンス管理者は、これらのタグを参照してデータ属性に基づいてアクセスを制御するポリシーを定義します。
3. データの自動分類と保護： 分類は継続的に実行され、新しいデータが到着するとタグ付けされます。スチュワードは必要に応じてタグを適用でき、システムは時間の経過とともに学習するため、手動の労力が削減されます。その結果、新しくタグ付けされたデータはすぐに保護されます。
4. ガバナンスされたデータアクセスを有効にする： データプロデューサーはガバナンスされたスコープ内でテーブルを作成し、データコンシューマーはクエリ結果を表示し、許可された行と列のみを表示します。

「Atlassianでは、数千人のユーザーとデータセットにわたるデータアクセスとコンプライアンスのガバナンスは、従来のロールベースモデルではますます複雑になっていました。Unity CatalogのABACにより、データ属性に基づいてきめ細かなアクセスポリシーを定義できるようになり、大規模な権限管理の運用オーバーヘッドが大幅に削減されました。かつて広範な手動権限管理を必要としていたことが、現在では動的に行われ、チームはアクセス管理ではなく洞察の提供に集中できるようになりました。」— Gerald Nakhle、ソフトウェアエンジニア、Atlassian

新機能：ABACポリシー、ガバナンスタグ、およびデータ分類の一般提供

これら3つの機能はすべて一般提供され、最も一般的な顧客からのフィードバックに対応する改善が加えられています。

ABACポリシーGA：データエステート全体での属性ベースのアクセス制御

GAでは、ABACは最大のエンタープライズデータエステートに拡張され、ポリシー評価と作成機能が強化されています。GAのハイライトは次のとおりです。

• エンタープライズ規模のデプロイメント向けに構築。 ポリシー制限はすべてのスコープで10倍に増加し、メタストアあたり10,000以上のポリシー、カタログおよびスキーマあたり100以上のポリシーをサポートします。
• ビューと関数に対するセッションID評価。 ABACポリシーは、クエリを実行しているユーザーのIDに対して評価されるようになりました。ユーザーは、ビューや関数を介してクエリを実行している場合でも、自身の権限で許可されているものだけを確認できます。
• 多くの列タイプに対応する1つのマスキング関数。 VARIANTを受け入れて返す単一のUDFは、INT、DOUBLE、DECIMALなどの数値タイプを一度にマスキングでき、同じアプローチはSTRUCT列にも拡張されます。これにより、組織が管理する必要のあるポリシーの数が削減されます。

「ポリシーの削減、コストの低減、精密な制御。ABACはUdemyのデータガバナンスを、力任せなものからエレガントなものへと変革しました。」— Rajit Saha | Director, Data & AI Platform, Udemy

ガバナンスタグ GA: タグによるデータ分類の標準化

GAでは、ガバナンスタグにより、SQL、API、UI全体での完全なライフサイクル管理、強力な管理者コントロール、および明確な可視性が追加されます。GAのハイライトは次のとおりです。

• SQL、API、UIによる完全なライフサイクル管理。 管理者は、UI、REST API、Terraformだけでなく、SQL（CREATE、ALTER、DROP、SHOW、DESCRIBE GOVERNED TAG）を使用してタグを作成、変更、検査できます。これにより、既存のワークフローへの簡単な自動化と統合が可能になります。
• ワークスペース管理者コントロール。 ワークスペース管理者はデフォルトでCREATE権限（設定可能）を受け取り、アカウント管理者はMANAGEおよびCREATE権限を受け取るため、タグガバナンスに対する柔軟な制御が可能になります。
• タグのカバレッジと継承の可視性の向上: UIとAPIは、タグの適用方法と継承方法に関する明確な洞察を提供し、チームがカバレッジを追跡し、分類の決定をトレースし、変更を監査するのに役立ちます。

エージェントベースのデータ分類 GA: 大規模なデータ検出とタグ付けを自動化

GAでは、分類によりコンプライアンスカバレッジが拡大し、精度コントロールが追加され、ビジネス固有のパターンに対応するカスタム分類子が利用可能になります。現在の機能に加えて、GAのハイライトは次のとおりです。

• 機密データの完全な可視性を一元化: ワークスペース全体で検出されたすべての分類を表示し、検出場所、アクセス権を持つユーザー、保護のためにABACポリシーを作成する必要がある場所をドリルダウンできます。
• 検出精度を継続的に向上させるヒューマンインザループ検証。顧客からのフィードバックと品質評価により、検出精度がさらに向上しました。さらに、ユーザーは誤検知を除外できるため、将来のスキャンの精度が継続的に向上します。
• コンプライアンスカバレッジの拡大。新しい分類子には、GDPR、HIPAA、GLBA、DPDPA、PCIが含まれ、英国、ドイツ、オーストラリア、ブラジルでの地域サポートも追加されています。インドとカナダ向けの追加分類子は今月中に提供される予定です。完全なリストはこちらで確認できます。
• カスタム分類子（ベータ版）。ビジネス固有のカテゴリがサポートされるようになりました。データ分類にガバナンスタグを付与すると、システムは一致する列を自動的に識別します。検出パターンは、既存のタグ付き列と周囲のUnity Catalogメタデータから学習され、データに自動的に適合します。

「当社の事業が成長するにつれて、データ識別と保護の手動アプローチは維持がますます困難になります。Databricksのエージェントベースのデータ分類は、手動のオーバーヘッドを、コストに見合う高品質な自動化された結果に置き換えます。 データ分類は、当社の環境全体にわたる主要なデータの所在に関する継続的な可視性を提供します。カスタム分類子は当社の特定のデータパターンに適応し、アクセスとコンプライアンス管理を合理化するのに役立ちます。属性ベースのアクセス制御（ABAC）ポリシーは、手動のオーバーヘッドを削減して分類によるコンプライアンス努力を拡張するのに役立ちます。」 — Nan Wu, Software Engineer, Superhuman

Unity CatalogでのABAC、ガバナンスタグ、データ分類の開始方法

ABACポリシー、ガバナンスタグ、データ分類は、Unity Catalogで本日より利用可能です。

• ABACドキュメント: 行フィルター、列マスク、一般的なポリシーパターンの定義方法を学ぶ
• ガバナンスタグドキュメント: タグ定義と権限の作成と管理
• データ分類ドキュメント: コンプライアンス体制のために、すべてのカタログにわたる分類と機密データを自動的に検出します。

これら3つの機能は、Unity Catalogにおけるスケーラブルなデータガバナンスの基盤を表しています。データエステートが成長するにつれて、整理-検出-保護パイプラインも共に成長します。

Data and AI Summitでさらに学ぶ

2026年6月15〜18日にサンフランシスコで開催されるData + AI Summitで、属性ベースのアクセス制御とデータガバナンスの未来をどのように形作っているかをご覧ください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事