SnowflakeのSecure Viewを試してみた #SnowflakeDB
※本エントリは、Snowflakeをより使いこなそう！ Advent Calendar 2021の4日目の記事となります。
さがらです。
SnowflakeのSecure Viewを試してみたので、その内容をまとめてみます。
Secure Viewとは？
通常のviewはSELECT文が書かれたSQLと共に定義されるため、DDL文を取得する関数などを用いることでそのSQLの定義文がわかるようになっています。
しかしSecure Viewを用いることで、その名の通り「Secure」になるため、viewに定義されたSELECT文を相手に公開せずviewが返す結果だけを提供する事が出来ます。
以下の公式Docも併せて御覧ください。（日本語だと「安全なビュー」と表記されています。）
試してみた
以下２つのviewを用意してみます。
- view「aaa」：普通のviewとして定義
- view「bbb」：Secure Viewとして定義
この上で、前準備として以下のクエリを実行します。
-- データベースとテーブルの定義
USE ROLE sysadmin;
CREATE DATABASE secure_view_test;
CREATE TABLE sample_table (no int);
-- view「aaa」は普通のviewとして定義
CREATE VIEW aaa AS
SELECT * FROM sample_table LIMIT 10;
-- view「bbb」はSecure Viewとして定義
CREATE SECURE view bbb AS
SELECT * FROM sample_table LIMIT 10;
-- 閲覧制限をかけたいロール「custom_role」を作る
USE ROLE accountadmin;
CREATE ROLE custom_role;
-- データベース、スキーマ、viewに対する権限を付与。viewにだけ権限与えるのがポイント
GRANT USAGE
ON DATABASE secure_view_test
TO ROLE custom_role;
GRANT USAGE
ON SCHEMA secure_view_test.public
TO ROLE custom_role;
GRANT SELECT
ON ALL VIEWS IN SCHEMA secure_view_test.public
TO ROLE custom_role;
-- ウェアハウスの使用権限を付与する
GRANT USAGE
ON WAREHOUSE compute_wh
TO ROLE custom_role;
-- ユーザーへのcustom_roleの付与
GRANT ROLE custom_role
TO USER satoshisagara;
この上で、GET_DDLという対象のオブジェクトのDDL文を確認できる関数を使ってみます。
まず通常のviewの場合は、このようにDDL文が見えてしまいます。
USE ROLE custom_role;
SELECT GET_DDL('view', 'aaa');
一方でSecure Viewの場合は、このようにエラーを返すことで、viewに定義されたSELECT文がわからないようになっています。viewに定義したSELECT文の内容が見えず、まさにSecureな状態であることがわかりますね。
USE ROLE custom_role;
SELECT GET_DDL('view', 'bbb');
Secure Viewの注意点
ここまでの説明で、「viewの定義内容を見せたくないし、それならもう全てのviewをSecure Viewにしちゃおうかな」と考えた方、1点だけ注意点があります。
それは、Secure Viewを使うと、クエリパフォーマンスに影響を及ぼす可能性があります。
これは、Secure Viewを使うと、Snowflakeがクエリパフォーマンスの最適化のために使用するクエリオプティマイザーが一部の最適化処理を行えなくなるためです。
そのため、すべてのviewをSecure Viewにするということを行ってしまうと、思わぬ所でパフォーマンス低下に繋がりますのでご注意ください。
どういった時に使えばいいの？
ではこのSecure View、いつ使えばいいのでしょうか。
例えばSnowflakeにはデータシェアリングの機能があり、viewも共有することができます。そんな時に、viewに定義したSQLに指標を出すために必要な計算ロジックなどを組み込んでおり、それを相手には見せたくない…というケースがあると思います。
そういった時に、このSecure Viewを使うことで詳細なロジックを相手に見せることなく、viewが返す結果だけを共有することが出来ます。
ただ、前述の注意点でも述べたとおりSecure Viewはパフォーマンスの低下に繋がる可能性がありますので、その点を考慮した上で適用してみてください。
次回
Snowflakeをより使いこなそう！ Advent Calendar 2021、次回の5日目では、「Snowflakeのアンロードで単一ファイルと複数ファイルの違いを比較してみた #SnowflakeDB」というタイトルで執筆します。お楽しみに！
