BigQuery でポリシータグを使用する際のベスト プラクティス

このページでは、BigQuery でポリシータグを使用する際のベスト プラクティスについて説明します。列レベルのアクセス制御または動的データ マスキングを使用する場合は、ポリシータグを使用してデータへのアクセスを定義します。

列にポリシータグを設定する方法については、列にポリシータグを設定するをご覧ください。

データクラスの階層を構築する

ビジネスに適したデータクラスの階層を構築します。

まず、組織が処理するデータの種類を検討します。通常、組織によって管理されるデータクラスは少数です。たとえば、組織には次のようなデータクラスがあります。

  • PII データ
  • 財務データ
  • 顧客の注文履歴

ポリシータグを使用して、1 つのデータクラスを複数のデータ列に適用できます。少数のポリシータグで多くの列を効率的に管理するには、この抽象化レベルを活用する必要があります。

次に、データクラスごとに異なるアクセス権が必要なユーザー グループがあるかどうかを検討します。たとえば、収益や顧客の履歴などビジネス上の機密データにアクセスする必要があるグループがあるとします。別のグループでは、電話番号や住所など個人を特定できるデータ（PII）にアクセスする必要があります。

ポリシータグはツリー構造にまとめることができます。他のすべてのポリシータグを含むルート ポリシー タグを作成すると便利な場合があります。

下の図は分類の例を示しています。この階層では、すべてのデータタイプが 3 つの最上位ポリシータグ（高、中、低）にグループ化されています。

データ階層。

各最上位ポリシータグにはリーフポリシー タグが含まれています。たとえば、高のポリシータグにはクレジット カード、政府機関 ID、および生体認証ポリシータグがあります。中と低にも同様にリーフポリシー タグがあります。

この構造には次のような利点があります。

  • ポリシータグのグループ全体にまとめてアクセス権を付与できます。たとえば、低階層でデータカタログの詳細な読み取りのロールを付与できます。

  • ポリシータグを別の階層に移動できます。たとえば、アドレスを低階層から中階層に移動すると、すべての住所列を再分類することなくアクセスをさらに制限できます。

  • このきめ細かいアクセスにより、少数のデータ分類ポリシータグを制御するだけで、多くの列へのアクセスを管理できます。

BigQuery のポリシータグの詳細については、以下をご覧ください。