Attribute-Based Access Controlで拡張するUnity Catalogのデータガバナンス

組織がアナリティクスと AI を加速させるためにデータへのアクセスを民主化するにつれて、大規模な制御を維持することがますます複雑になっています。行レベルおよび列レベルのセキュリティなどの従来のきめ細かいアクセス制御 (FGAC) は、精度を提供しますが、多くの場合オブジェクトレベルで直接適用されるため、データ資産が拡大するにつれて重複と一貫性のない管理が発生します。

属性ベースのアクセス制御 (ABAC)は、ガバナンスチームがカタログまたはスキーマレベルでタグ駆動のポリシーを定義できるようにすることで、この課題に対処します。ポリシーは、現在および将来のすべてのテーブルとビューに自動的に継承されます。このアプローチにより、資産ごとの反復的なルールを排除しながら、一貫した保護と最小権限のアクセスが保証されます。

Unity Catalog で行および列レベルのセキュリティポリシーに ABAC を使用すると、管理タグとデータ分類が ABAC と組み合わさり、データチームはデータセットの残りの部分を分析のためにアクセス可能にしたまま、（PII などの）機密フィールドを自動的にマスクまたは制限できるようになります。これにより、安全でスケーラブルなデータの民主化が実現します。

このブログでは、Unity Catalog で ABAC がどのように機能するか、タグ付けや分類とどのように統合されるか、パブリック プレビューに何が含まれているかについて解説します。

Unity Catalog における属性ベースのアクセス制御（ABAC）とは？

ABAC は、Unity Catalog 内の保護可能なオブジェクト（カタログ、スキーマ、テーブル、ビューなど）の属性に基づいてアクセス決定が条件付きで行われるセキュリティモデルです。これらの属性は、組織のデータ分類基準に従って定義し、リソースに適用した上で、ABAC ポリシーで活用することができます。ポリシーはカタログやスキーマからテーブルやカラムに継承でき、すべてのアセットにわたって効果的なガバナンスを提供します。

Unity Catalog の ABAC パブリックプレビューでは、現在以下をサポートしています。

• 列マスク：属性に基づき、機密性の高い値を自動でマスキングします。例：「sensitive」タグの付いた列は「*****」と表示されます。
• 行フィルター: 特定のグループやユーザーに表示されるテーブルの行を制御します。例:「sales」というタグが付いたテーブルをフィルタリングして、営業チームが自分の地域に関連する行のみを表示できるようにします

ABAC のメリット: 

• ガバナンスの拡張: カタログまたはスキーマレベルでポリシーを一度定義するだけで、継承により、まだ存在しない将来のテーブルやビューを含むすべての場所にポリシーが適用されます
• アクセス ポリシーの簡素化: テーブルごとの権限設定を回避し、ビューベースの複雑な回避策を排除します。
• ガードレールを設定：ガバナンス管理者が作成する一元化ポリシーは、一貫した適用を保証し、下位レベルの管理者による上書きはできません。
• 機密データを自動的に保護: データ分類と組み合わせることで、新しいデータセットやカラムが作成されたときに、手動の作業なしで機密フィールドに自動的にタグ付けして保護します。 

「列マスキングを備えた Databricks ABAC は、機密データセットの大規模な動的マスキングを可能にすることで、私たちの主要なワークフローのブロックを解除してくれました。管理タグを備えた、一元化された階層的なポリシー設計は、ポリシーの管理と適用にシンプルさと柔軟性をもたらします。今後、より広範に導入されることで、アクセス制御とデータ保護に関する包括的かつスケーラブルなガバナンスの確立に役立つと期待しています。」— ナン・ウー、Grammarly

ABAC の仕組み

ABAC ポリシーは、自動化のために管理タグ と データ分類を活用します。管理タグ は標準化されたアカウントレベルのタグで、ガバナンスチームはタグで許可される値と、それを割り当てることができるユーザーを定義できます。データ分類はこの考え方をさらに一歩進め、機密性の高い列やテーブルを自動的に識別してラベルを付け、ABAC が行レベルおよび列レベルのアクセス ポリシーを適用するための基盤を提供します。

これらの機能を組み合わせることで、管理者はルールを一度定義すれば、カタログ、スキーマ、テーブル、および下流のアセット全体に適用できます。継承により、手作業を繰り返すことなく、一貫したポリシー適用が保証されます。例えば、データ分類機能で「email_address」や「phone_number」などの機密性の高い列にタグ付けすると、ABACポリシーが権限のあるチーム以外の全ユーザーに対してこれらのフィールドを自動的にマスキングできます。

「管理タグ」、「データ分類」、「ABAC」を組み合わせることで、データチームは「機密データを自動分類 → アカウントレベルのタグを適用 → ポリシーを大規模に自動適用」という継続的なワークフローを構築できます。実際の動作はデモでご確認ください。

最後に、ABAC Public Preview の一環として、以下も追加します。

• Delta Sharing のサポート: データプロバイダーは、共有オーナーがポリシーから除外されている場合でも ABAC ポリシーを使用してデータアセットを共有できるようになり、受信者は必要に応じて共有データに新しい ABAC ポリシーを作成できます。
• AI を活用したポリシー作成: データのマスキング方法を自然言語で記述すると、Databricks Assistant がそれをパフォーマンスの高い SQL 関数に自動的に変換します。

• マテリアライズドビュー、ストリーミングテーブル、フォーリンテーブルのサポート: ABAC ポリシーは、リアルタイムや外部で管理されるデータアセットを含む、より広範な種類のテーブルに一貫して適用されるようになりました。
• サポート：データ型をまたいで再利用可能なUDF：共有 UDF を使用して、異なる列タイプ間でマスキングロジックを再利用できるため、ポリシーの作成が簡素化され、メンテナンスの手間が削減されます。
• シャロークローンとタイムトラベルとの互換性:ポリシーはクローンや過去のテーブルバージョンにわたって維持され、開発、テスト、デバッグのワークフロー中でも一貫した保護を保証します。

無料トライアル

行フィルターと列マスキングのポリシーを対象として、AWS、Azure Databricks、GCPでABACがパブリックプレビューで利用可能になりました。詳細はABACドキュメントをご覧ください。管理タグとデータ分類もパブリックプレビューで利用可能です。

Unity Catalog の利用を開始するには、AWS、Azure、GCPで利用可能な Unity Catalog ガイドに従ってください。