G-gen の杉村です。 Google Cloud (旧称 GCP) の BigQuery にはアクセス制御のための仕組みが多数存在します。その中でも 承認されたビュー と 承認されたデータセット というよく似た名前の2つの機能をご紹介します。

この機能を使うと、利用者に見せるデータの範囲 (カラムやレコード) を制限したり、 BigQuery の IAM 管理運用を楽にしたりすることができます。

BigQuery へのアクセス制御について

当記事でご紹介する「承認されたビュー」機能と「承認されたデータセット」機能を理解するには、 Google Cloud の IAM の仕組みの基本と、 BigQuery のアクセス制御に関する知識が前提として必要です。
これらの前提知識については、以下のブログをご参照いただけますと幸いです。

Google Cloud の IAM の基本

blog.g-gen.co.jp

BigQuery における IAM

blog.g-gen.co.jp

承認されたビュー

承認されたビュー (Authorized view) とは、利用者に対して ビューへのアクセス権限を与える が ビューの元となるテーブル自体へのアクセス権限は与えない ことにより、アクセス制御を楽にしたり、見せるデータの粒度を制御したりできる機能です。

言葉だけだと少々分かりづらいため、図で説明します。

この図の場合、利用者はビューへの権限を持っているが、 ビューの元となっているテーブル (ソーステーブル) への権限は持っていません 。

通常ですと、利用者がビューへクエリを投げるとき、ビューへのデータアクセス権限を持っていたとしても、同時にビューのソーステーブルへのデータアクセス権限も持っていなければクエリは 権限エラーで失敗 します。

しかし承認されたビューの機能により、ソーステーブルの所属するデータセットにて「 特定のビューからのアクセスを承認する 」という設定を実施することで、利用者は ビューへのアクセス権限さえもっていればクエリを実行することができる ようになります。

これにより、利用者はビューだけに閲覧権限を持つので、ビューの SQL で定義された範囲のデータだけを見られるようになります。
ビュー作成時の SQL の SELECT 句や WHERE 句で適切にデータを絞れば、 利用者に見せたいデータの範囲を絞って見せることができる ようになります。

なお、この機能では、データセットが承認対象のビューの一覧を持ちます。
例として上記の図では source_dataset の承認対象ビュー一覧に view_a を加えることで、利用者はソーステーブルやソースデータセットに権限がなくても、 view_a にクエリを投げることができます。

ソーステーブルとビューは、同じデータセットに存在していても、違うデータセットに存在していても構いません。
ただしアクセス権限設定を分かりやすくするために、ソーステーブルとビューは 異なるデータセットにしたほうが望ましい でしょう (先程の図の状態です) 。

以下のようなユースケースで用います。

利用者の権限をビューやそのデータセットにのみ与えることで IAM 管理運用を楽にする 。権限をいちいちソーステーブルやそのデータセットに付与する必要がないため、権限管理ポイントを集約できる
ビュー生成 SQL で見せたいデータだけを抽出することで 利用者が見ることのできるカラムやフィールドを制限する 。ただしこの場合、管理者側で任意のデータだけを抽出する SQL を書いてビューを作成し、利用者はビューの SQL を編集できないようにする必要がある