Snowflake データシェアリングでプロバイダー側のデータ保護ポリシー6種がコンシューマー側でどのように作用するか確認してみた

-- 許可ロール列挙型: 許可ロールだけ素値を見せる
CREATE MASKING POLICY MP_ALLOWLIST AS (val STRING) RETURNS STRING ->
  CASE WHEN CURRENT_ROLE() IN ('POLSHARE_PROV_ADMIN') THEN val
       ELSE '***MASKED***' END;

-- 禁止ロール列挙型: 特定ロールだけマスクする(判定できないときは素値が見える = fail-open)
CREATE MASKING POLICY MP_BLOCKLIST AS (val STRING) RETURNS STRING ->
  CASE WHEN CURRENT_ROLE() IN ('UNTRUSTED_ROLE') THEN '***MASKED***'
       ELSE val END;

-- コンテキスト関数の評価値をそのまま返すデバッグ用
CREATE MASKING POLICY MP_DEBUG AS (val STRING) RETURNS STRING ->
     'ROLE='      || NVL(CURRENT_ROLE(), '<NULL>')
  || '|USER='     || NVL(CURRENT_USER(), '<NULL>')
  || '|ACCTNAME=' || NVL(CURRENT_ACCOUNT_NAME(), '<NULL>')
  || '|SHARE='    || NVL(INVOKER_SHARE(), '<NULL>');

-- ロール依存 RAP: シェア越しは CURRENT_ROLE()=NULL → 全行除外(0行)になる
CREATE OR REPLACE ROW ACCESS POLICY POLSHARE_DB.S_RAP.RAP_ROLE
  AS (region STRING) RETURNS BOOLEAN ->
  CURRENT_ROLE() IN ('POLSHARE_PROV_ADMIN', 'ACCOUNTADMIN');

-- アカウント分岐 RAP: コンシューマーには APAC だけ見せる(マルチテナント配信パターン)
CREATE OR REPLACE ROW ACCESS POLICY POLSHARE_DB.S_RAP.RAP_ACCT
  AS (region STRING) RETURNS BOOLEAN ->
  CURRENT_ACCOUNT_NAME() = 'PROVIDER_ACCT' OR region = 'APAC';

-- マッピングテーブル参照 RAP(マッピングは共有に含める)
CREATE OR REPLACE ROW ACCESS POLICY POLSHARE_DB.S_RAP.RAP_MAP_S
  AS (region STRING) RETURNS BOOLEAN ->
  EXISTS (SELECT 1 FROM POLSHARE_DB.S_RAP.REGION_MAP m
          WHERE m.region = region AND m.account_name = CURRENT_ACCOUNT_NAME());

-- マッピングテーブル参照 RAP(マッピングは非共有 LIB DB。所有者権限で評価されるため動く)
CREATE OR REPLACE ROW ACCESS POLICY POLSHARE_DB.S_RAP.RAP_MAP_L
  AS (region STRING) RETURNS BOOLEAN ->
  EXISTS (SELECT 1 FROM POLSHARE_LIB_DB.MAPS.REGION_MAP_LIB m
          WHERE m.region = region AND m.account_name = CURRENT_ACCOUNT_NAME());

-- シェア別分岐(公式サンプルの形): SHARE_A 経由だけ投影不可、
-- SHARE_B 経由とプロバイダー自身は投影可
CREATE OR REPLACE PROJECTION POLICY POLSHARE_DB.S_PROJ.PP_BY_SHARE
  AS () RETURNS PROJECTION_CONSTRAINT ->
  CASE WHEN INVOKER_SHARE() = 'POLSHARE_SHARE_A' THEN PROJECTION_CONSTRAINT(ALLOW => false)
       ELSE PROJECTION_CONSTRAINT(ALLOW => true) END;

-- プロバイダーは無制限、それ以外は最小グループサイズ5(未満は残余グループへ)
CREATE OR REPLACE AGGREGATION POLICY POLSHARE_DB.S_AGG.AP_COND
  AS () RETURNS AGGREGATION_CONSTRAINT ->
  CASE WHEN CURRENT_ACCOUNT_NAME() = 'PROVIDER_ACCT' THEN NO_AGGREGATION_CONSTRAINT()
       ELSE AGGREGATION_CONSTRAINT(MIN_GROUP_SIZE => 5) END;

-- コンシューマー側: 自DBのテーブルと結合すれば成功
SELECT p.diagnosis, COUNT(*) AS cnt
FROM POLSHARE_A_DB.S_JOIN.PATIENTS p
JOIN POLSHARE_LOCAL_DB.WORK.LOCAL_PATIENTS l ON p.patient_id = l.patient_id
GROUP BY p.diagnosis;

-- CLI/ドライバ経由のフェッチを100行までに制限(検証ロール本人は無制限)
CREATE OR REPLACE DATA MOVEMENT RULE POLSHARE_DB.S_DMP.R_PSH_FETCH_100
  TYPE = 'PROGRAMMATIC_FETCH'
  MAX_ROWS AS () RETURNS INTEGER
  -> (CASE WHEN SYS_CONTEXT('SNOWFLAKE$SESSION', 'ROLE') = 'POLSHARE_PROV_ADMIN' THEN NULL ELSE 100 END)
  COMMENT = 'Fetch limited to 100 rows except provider admin';

-- Snowsight の結果表示も100行までに制限(Snowsight でスクショを撮るための追加ルール。
-- ブログ本文の実測エラー 100168 は PROGRAMMATIC_FETCH 側)
CREATE OR REPLACE DATA MOVEMENT RULE POLSHARE_DB.S_DMP.R_PSH_SNOWSIGHT_100
  TYPE = 'SNOWSIGHT_UI'
  MAX_ROWS AS () RETURNS INTEGER
  -> (CASE WHEN SYS_CONTEXT('SNOWFLAKE$SESSION', 'ROLE') = 'POLSHARE_PROV_ADMIN' THEN NULL ELSE 100 END)
  COMMENT = 'Screenshot only: Snowsight display limited to 100 rows';

-- 内部/外部ステージへのアンロードを全ブロック(COPY INTO の検証用)
CREATE OR REPLACE DATA MOVEMENT RULE POLSHARE_DB.S_DMP.R_PSH_COPY_INT_BLOCK
  TYPE = 'COPY_INTO_INTERNAL_STAGE'
  MAX_ROWS AS () RETURNS INTEGER
  -> (CASE WHEN SYS_CONTEXT('SNOWFLAKE$SESSION', 'ROLE') = 'POLSHARE_PROV_ADMIN' THEN NULL ELSE 0 END)
  COMMENT = 'Block unload to internal stage except provider admin';
CREATE OR REPLACE DATA MOVEMENT RULE POLSHARE_DB.S_DMP.R_PSH_COPY_EXT_BLOCK
  TYPE = 'COPY_INTO_EXTERNAL_STAGE'
  MAX_ROWS AS () RETURNS INTEGER
  -> (CASE WHEN SYS_CONTEXT('SNOWFLAKE$SESSION', 'ROLE') = 'POLSHARE_PROV_ADMIN' THEN NULL ELSE 0 END)
  COMMENT = 'Block unload to external stage except provider admin';

-- Rule を ENFORCE(超過でブロック)として束ねるポリシー
CREATE OR REPLACE DATA MOVEMENT POLICY POLSHARE_DB.S_DMP.DMP_SHARE_GUARD
  ENFORCE_RULES = (R_PSH_FETCH_100, R_PSH_SNOWSIGHT_100, R_PSH_COPY_INT_BLOCK, R_PSH_COPY_EXT_BLOCK)
  COMMENT = 'Share guard: fetch/display <= 100 rows, block unload';

-- DMP はタグ経由で適用(PROPAGATE = NONE のタグには設定できない)
CREATE OR REPLACE TAG POLSHARE_DB.S_DMP.DMP_TAG
  PROPAGATE = ON_DEPENDENCY_AND_DATA_MOVEMENT;
ALTER TAG POLSHARE_DB.S_DMP.DMP_TAG SET DATA MOVEMENT POLICY POLSHARE_DB.S_DMP.DMP_SHARE_GUARD;
ALTER TABLE POLSHARE_DB.S_DMP.PAYROLL SET TAG POLSHARE_DB.S_DMP.DMP_TAG = 'guarded';

-- アカウントレベル検証用ポリシー(ここでは定義のみ。ALTER ACCOUNT SET/UNSET で適用・解除して確認した)
CREATE OR REPLACE DATA MOVEMENT RULE POLSHARE_DB.S_DMP.R_PSH_BASELINE_FETCH_BLOCK
  TYPE = 'PROGRAMMATIC_FETCH'
  MAX_ROWS AS () RETURNS INTEGER
  -> (CASE WHEN SYS_CONTEXT('SNOWFLAKE$SESSION', 'ROLE') IN ('POLSHARE_PROV_ADMIN', 'ACCOUNTADMIN') THEN NULL ELSE 0 END)
  COMMENT = 'Baseline test: block fetch except provider roles';
CREATE OR REPLACE DATA MOVEMENT POLICY POLSHARE_DB.S_DMP.DMP_TEST_BASELINE
  ENFORCE_RULES = (R_PSH_BASELINE_FETCH_BLOCK)
  COMMENT = 'Temporary account baseline for share verification';

CREATE OR REPLACE TABLE POLSHARE_LIB_DB.BASE.CUSTOMERS_BASE (
  id NUMBER, region STRING, ssn STRING, email STRING
);
INSERT INTO POLSHARE_LIB_DB.BASE.CUSTOMERS_BASE VALUES
  (1, 'APAC', 'SSN-0001', 'base1@example.com'),
  (2, 'EMEA', 'SSN-0002', 'base2@example.com');

CREATE OR REPLACE MASKING POLICY POLSHARE_LIB_DB.POLICIES.MP_BASE_ALWAYS
  AS (val STRING) RETURNS STRING -> '***BASE_ALWAYS***';
-- 「特定ロールだけマスクする」型(シェア越しに素値が見えることをビュー経由でも確認する)
CREATE OR REPLACE MASKING POLICY POLSHARE_LIB_DB.POLICIES.MP_BASE_BLOCKLIST
  AS (val STRING) RETURNS STRING ->
  CASE WHEN CURRENT_ROLE() IN ('UNTRUSTED_ROLE') THEN '***MASKED***' ELSE val END;
CREATE OR REPLACE ROW ACCESS POLICY POLSHARE_LIB_DB.POLICIES.RAP_BASE_ACCT
  AS (region STRING) RETURNS BOOLEAN ->
  CURRENT_ACCOUNT_NAME() = 'PROVIDER_ACCT' OR region = 'APAC';

ALTER TABLE POLSHARE_LIB_DB.BASE.CUSTOMERS_BASE ALTER COLUMN ssn   SET MASKING POLICY POLSHARE_LIB_DB.POLICIES.MP_BASE_ALWAYS;
ALTER TABLE POLSHARE_LIB_DB.BASE.CUSTOMERS_BASE ALTER COLUMN email SET MASKING POLICY POLSHARE_LIB_DB.POLICIES.MP_BASE_BLOCKLIST;
ALTER TABLE POLSHARE_LIB_DB.BASE.CUSTOMERS_BASE ADD ROW ACCESS POLICY POLSHARE_LIB_DB.POLICIES.RAP_BASE_ACCT ON (region);

-- ケース1: ポリシー付きの元テーブルを参照するセキュアビュー(ビュー自体にはポリシーなし)
CREATE OR REPLACE SECURE VIEW POLSHARE_DB.S_VIEW.V_BASEPOL AS
SELECT id, region, ssn, email FROM POLSHARE_LIB_DB.BASE.CUSTOMERS_BASE;

-- ケース2: ビュー列に直接ポリシー(元テーブルはポリシーなし)
CREATE OR REPLACE TABLE POLSHARE_LIB_DB.BASE.CUSTOMERS_PLAIN (id NUMBER, email STRING);
INSERT INTO POLSHARE_LIB_DB.BASE.CUSTOMERS_PLAIN VALUES
  (1, 'plain1@example.com'), (2, 'plain2@example.com');
CREATE OR REPLACE SECURE VIEW POLSHARE_DB.S_VIEW.V_VIEWPOL AS
SELECT id, email FROM POLSHARE_LIB_DB.BASE.CUSTOMERS_PLAIN;
CREATE OR REPLACE MASKING POLICY POLSHARE_DB.S_VIEW.MP_VIEWCOL_ALWAYS
  AS (val STRING) RETURNS STRING -> '***VIEWCOL***';
ALTER VIEW POLSHARE_DB.S_VIEW.V_VIEWPOL ALTER COLUMN email SET MASKING POLICY POLSHARE_DB.S_VIEW.MP_VIEWCOL_ALWAYS;