Secure スキル

テーブル設定で定義された Row Level Security (RLS) と Column Level Security (CLS) ポリシーを適用します。セキュリティポリシーは、どのユーザーまたはグループがどの行と列を表示できるかを制御します。

使用方法

starlake secure [options]

オプション

• --domains <value>: セキュリティを適用するドメインのカンマ区切りリスト（デフォルト: すべて）
• --tables <value>: セキュリティを適用するテーブルのカンマ区切りリスト（デフォルト: すべて）
• --accessToken <value>: 認証用アクセストークン（例：GCP）
• --options k1=v1,k2=v2: 置換引数
• --scheduledDate <value>: ジョブのスケジュール日時、形式: yyyy-MM-dd'T'HH:mm:ss.SSSZ
• --reportFormat <value>: レポート出力形式: console、json、または html

設定コンテキスト

セキュリティポリシーはテーブル設定ファイルで定義されます：

Row Level Security (RLS)

ユーザー/グループメンバーシップに基づいて行をフィルタリングします：

# table.sl.yml 内
table:
  rls:
    - name: "USA only"
      predicate: "country = 'USA'"
      grants:
        - "group:usa_team"
    - name: "Recent data"
      predicate: "order_date > CURRENT_DATE - INTERVAL 90 DAY"
      grants:
        - "user:analyst@domain.com"

Column Level Security (CLS) / アクセスポリシー

機密列へのアクセスを制限します：

# table.sl.yml 内
table:
  attributes:
    - name: "email"
      type: "string"
      accessPolicy: "PII"
    - name: "credit_card"
      type: "string"
      accessPolicy: "SENSITIVE"

アクセス制御リスト (ACL)

テーブルレベルの権限を付与します：

# table.sl.yml 内
table:
  acl:
    - role: "roles/bigquery.dataViewer"
      grants:
        - "user:user@domain.com"
        - "group:analytics_team@domain.com"
        - "serviceAccount:sa@project.iam.gserviceaccount.com"

プライバシートランスフォーメーション

プライバシートランスフォーメーションはデータ読み込み中に適用され、機密フィールドを保護します。属性ごとに設定します：

attributes:
  - name: "ssn"
    type: "string"
    privacy: "HIDE" # 保存されません: 列が削除されます

  - name: "email"
    type: "string"
    privacy: "SHA256" # 一方向ハッシュ

  - name: "ip_address"
    type: "string"
    privacy: "MD5" # 匿名化

  - name: "phone"
    type: "string"
    privacy: "AES" # 可逆暗号化

利用可能なプライバシータイプ

タイプ	説明	可逆
HIDE	列は出力から完全に削除されます	N/A
MD5	値の MD5 ハッシュ	いいえ
SHA1	値の SHA-1 ハッシュ	いいえ
SHA256	値の SHA-256 ハッシュ	いいえ
SHA512	値の SHA-512 ハッシュ	いいえ
AES	AES 暗号化（暗号化キーが必要）	はい

BigQuery アクセスポリシー設定

BigQuery のアプリケーションレベルで Column-Level Security ポリシーを設定します：

# metadata/application.sl.yml
application:
  accessPolicies:
    apply: true
    location: EU
    taxonomy: RGPD

これは BigQuery Data Catalog ポリシータグを有効にします。accessPolicy を持つ属性は相応にタグ付けされ、認可されたユーザーのみに列アクセスを制限します。

例

すべてのテーブルにセキュリティを適用する

starlake secure

特定のドメインにセキュリティを適用する

starlake secure --domains starbake

特定のテーブルにセキュリティを適用する

starlake secure --domains starbake --tables customers,orders

関連スキル

• iam-policies - IAM ポリシーを適用する
• load - データを読み込む（読み込み時にセキュリティとプライバシーが適用されます）
• config - 設定リファレンス（アプリケーションレベルの設定）