G-gen の齊間です。Looker Studio で作成したレポートにおいて、閲覧ユーザーに応じて表示するデータを制御したい（出し分けたい）場合があります。当記事では、そのための主要な3つの方法と、それぞれの設定手順や注意点を解説します。

概要

Looker Studio で閲覧ユーザーごとに表示データを制御する方法として、主に以下の3つがあります。

メールアドレスでフィルタ
BigQuery で行レベルのアクセスポリシーを設定
カスタムクエリでパラメータを使用

それぞれの方法について、設定方法と特徴を解説します。

手法1. メールアドレスでフィルタ

データソースの設定にある「メールアドレスでフィルタ」機能を使用する方法です。詳細な手順は、以下の記事を参照してください。

blog.g-gen.co.jp

この方法は、Looker Studio の標準機能だけで完結するため、最も簡単に設定できる点がメリットです。

一方で、1レコードにつき1つのメールアドレスしか制御に使用できない点がデメリットです。例えば、レコード A を「ユーザー X」と「ユーザー Y」の両方に表示させたい場合、データソース側でレコード A を2行作成し、メールアドレスを格納するカラムにそれぞれのアドレスを登録する必要があります。

複数ユーザーに同一レコードを表示させたい場合や、より柔軟な権限管理を行いたい場合は、後述する手法2または手法3を検討します。

手法2. BigQuery で行レベルのアクセスポリシーを設定

概要

データソースに BigQuery を使用している場合に利用できる方法です。BigQuery 側で CREATE ROW ACCESS POLICY 文を使用し、行レベルのアクセスポリシー（Row-Level Security）を設定します。

この機能では、許可対象として個人のメールアドレスだけでなく、Google グループも指定できます。

行レベルのアクセスポリシーについては、以下の記事を参照してください。

blog.g-gen.co.jp

手順

この方法を用いて、Looker Studio のログインユーザーに応じたデータ制御を行う手順は以下のとおりです。

1. カラムの作成

Looker Studio で参照する BigQuery テーブルに、閲覧を許可するメールアドレス（または Google グループ）を格納するカラムを作成します。このとき、1レコードに対して複数の閲覧許可ユーザーを設定する場合は、カラムのデータ型は STRING の配列（ARRAY） とすることで、1レコードに対して複数データを登録できます。

STRING の配列（ARRAY<STRING>）の場合、1レコードに複数データ登録可能

BigQuery の STRING の配列（ARRAY<STRING>）については、以下の記事を参照してください。

blog.g-gen.co.jp

2. 行レベルのアクセスポリシーの設定

BigQuery の対象テーブルに対し、行レベルのアクセスポリシーを設定します。

3. Looker Studio データソースへの認証情報設定

Looker Studio のデータソース設定において、データの認証情報を閲覧者の認証情報に設定します。オーナーの認証情報のままでは、閲覧ユーザーごとの制御が効かないため、注意してください。

BigQuery テーブルの STRING の配列（ ARRAY<STRING> ）をLooker Studio レポートで参照する際は、カスタムクエリで ARRAY_TO_STRING 関数を利用し、配列を文字列に変換します。

STRING の配列を参照する場合、ARRAY_TO_STRING 関数で文字列に変換する

4. 動作確認

Looker Studio レポートにアクセスすると、BigQuery 側でポリシーが評価され、ログインユーザーに応じたデータのみが表示されます。

行レベルのアクセスポリシー設定例

例えば、売上テーブル（sales_table）に対し、閲覧許可リストのカラム（allowed_viewers / ARRAY 型）に含まれるユーザーだけに表示を許可する場合のクエリは以下のとおりです。

CREATE ROW ACCESS POLICY ap_sales_filter
ON `my_project.my_dataset.sales_table`
GRANT TO ('allAuthenticatedUsers')
FILTER USING (
  SESSION_USER() IN UNNEST(allowed_viewers)
);

GRANT TO 句には、ポリシーを適用する対象（権限を制限する対象）を指定します。Looker Studio を利用するすべてのユーザーに適用するため、ここでは allAuthenticatedUsers としています（特定のグループやドメインに限定することも可能です）。

FILTER USING 句には、閲覧を許可する条件（True になる条件）を記述します。