テーブルおよびビューへのアクセスの制御

このドキュメントでは、テーブルアクセスポリシーを使用して、テーブルとビューへのアクセスを管理する方法について説明します。テーブルアクセスポリシーの概要については、テーブルアクセスポリシーの概要をご覧ください。

テーブルまたはビューを作成すると、次の方法でポリシーを設定できます。

Google Cloud コンソールを使用する
bq set-iam-policy コマンドを使用する
tables.setIamPolicy メソッドを呼び出す
GRANT または REVOKE データ制御言語（DCL）ステートメントを使用する

テーブルアクセスポリシーは、ビューとデータセットレベル承認済みビューのアクセス権を設定するために使用できます。ビューでは、テーブルアクセスポリシーを使用して共有した他のテーブルとビューを参照することもできます。

始める前に

テーブルアクセスポリシーは、BigQuery リソース（テーブルやビューなど）に対して使用できます。テーブルやビューの作成方法については、テーブルの作成またはビューの作成をご覧ください。

アクセスポリシーの作成に必要な権限

テーブルアクセスポリシーを作成するには、bigquery.tables.setIamPolicy Identity and Access Management（IAM）権限を付与されている必要があります。

次の各 IAM 事前定義ロールには、テーブルまたはビューのアクセスポリシーを作成するために必要な権限が含まれています。

roles/bigquery.dataOwner
roles/bigquery.admin

BigQuery での IAM の詳細については、IAM によるアクセス制御をご覧ください。

テーブルとビューをクエリするために必要な権限

ユーザーには、クエリが参照するすべてのテーブルとビューに対する bigquery.tables.getData 権限が必要です。さらに、ビューをクエリする場合は、基盤となるすべてのテーブルとビューに対してこの権限が必要になります。ただし、承認済みビューまたは承認済みデータセットを使用する場合は、ユーザーに基盤となるソースデータへのアクセス権を付与する必要はありません。

次の各 IAM 事前定義ロールには、クエリで参照するすべてのテーブルとビューに対してユーザーが必要とする権限が含まれています。

roles/bigquery.admin
roles/bigquery.dataOwner
roles/bigquery.dataEditor
roles/bigquery.dataViewer

アクセスポリシーを作成する

テーブルやビューのアクセスポリシーを作成するには、次の操作を行います。

Console

BigQuery ページに移動します。

BigQuery に移動
[エクスプローラ] パネルでプロジェクトを開いて、データセットを選択します。
データセットを開いて、テーブルまたはビューを選択します。
[共有] をクリックします。
[共有] ページでユーザー（またはプリンシパル）を追加するには、[ プリンシパルを追加] をクリックします。
[プリンシパルの追加] ページで、次の操作を行います。
- [新しいプリンシパル] にユーザー名を入力します。個別のユーザー、グループ、サービスアカウント、ワークスペースドメインを追加できます。
- [ロールを選択] プルダウンリストから、ユーザーに付与するロールを選択します。
- [条件を追加] をクリックして、ユーザーに対する条件付きアクセスを追加します。
[保存] をクリックして、新しいユーザーの変更を保存します。
[閉じる] をクリックして [共有] ページを閉じます。

SQL

ユーザーにロールを付与するには、GRANT DCL ステートメントを使用します。

Google Cloud コンソールで、[BigQuery] ページに移動します。

BigQuery に移動
クエリエディタで次のステートメントを入力します。
```
GRANT `ROLE_LIST`
ON TABLE DATASET.TABLE_OR_VIEW
TO 'USER_LIST';
```
次のように置き換えます。
- ROLE_LIST: ロール、または付与する権限を含むカンマ区切りのリスト（例: roles/bigquery.dataViewer）
- DATASET: リソースが存在するデータセットの名前
- TABLE_OR_VIEW: アクセス権を取り消すテーブルまたはビュー
- USER_LIST: ロールが付与されるユーザーのカンマ区切りのリスト（例: user:joe@example.com）
[ 実行] をクリックします。

クエリの実行方法については、インタラクティブクエリの実行をご覧ください。

bq

既存のポリシーをローカルファイルに取得します。
```
bq get-iam-policy \
 project-id:dataset.table_or_view \
 > policy.json
```
ここで
- project-id は、プロジェクト ID です。
- dataset は、更新するリソース（テーブルまたはビュー）を含むデータセットの名前です。
- table_or_view は、更新するリソースの名前です。
テーブルまたはビューを特定し、ポリシーの出力をファイルにリダイレクトする例:
- bq get-iam-policy dataset1.table1 > policy.json
- bq get-iam-policy --project_id=project1 -t dataset1.table1 > policy.json
- bq get-iam-policy project1:dataset1.table1 > policy.json
ポリシーにメンバーをまだ追加していない場合、policy.json ファイルに etag 値が含まれますが、その他のフィールドは含まれません。policy.json ファイルのフォーマットの詳細については、ポリシーについてをご覧ください。
初めてメンバーを追加する場合は、bindings フィールドをポリシーに追加します。たとえば、joe@example.com に BigQuery データ閲覧者（roles/bigquery.dataViewer）ロールを追加するには、次のようにします。
```
"bindings": [
 {
   "members": [
     "user:joe@example.com"
   ],
   "role": "roles/bigquery.dataViewer"
 }
]
```
既存のバインディングにメンバーを追加する場合は、既存メンバーの後ろにそのメンバーを追加します。この例では、既存のバインディングで jane@example.com に BigQuery データ閲覧者（roles/bigquery.dataViewer）ロールを付与する方法を示しています。
```
"members": [
       "user:joe@example.com",
       "user:jane@example.com"
     ],
     "role": "roles/bigquery.dataViewer"
```
ポリシーを更新します。
```
bq set-iam-policy \
 project-id:dataset.table_or_view \
 policy.json
```
注意: ポリシーを作成した後にそのポリシーを取得すると、バージョンフィールドが 1 と表示されます。今後のポリシーの更新では、このバージョン番号を変更しないでください。このバージョン番号は、テーブルまたはビューのポリシーのバージョンではなく、IAM ポリシーのスキーマバージョンを指します。etag 値は、ポリシーのバージョン番号です。
IAM ポリシースキーマのバージョンについては、ポリシーバージョンをご覧ください。

API

tables.getIamPolicy を呼び出して、現在のポリシーを取得します。
ポリシーを編集してメンバーやバインディングを追加します。ポリシーの形式については、bq の例をご覧ください。
tables.setIamPolicy を呼び出して、新しいポリシーを書き込みます。

IAM ポリシースキーマのバージョンについては、ポリシーバージョンをご覧ください。

Java

このサンプルを試す前に、クライアントライブラリを使用した BigQuery クイックスタートの Java の手順に沿って設定を行ってください。詳細については、BigQuery Java API のリファレンスドキュメントをご覧ください。

GitHub で表示フィードバック

import com.google.cloud.Identity;
import com.google.cloud.Policy;
import com.google.cloud.Role;
import com.google.cloud.bigquery.BigQuery;
import com.google.cloud.bigquery.BigQueryException;
import com.google.cloud.bigquery.BigQueryOptions;
import com.google.cloud.bigquery.TableId;

// Sample to create iam policy for table
public class CreateIamPolicy {

  public static void main(String[] args) {
    // TODO(developer): Replace these variables before running the sample.
    String datasetName = "MY_DATASET_NAME";
    String tableName = "MY_TABLE_NAME";
    createIamPolicy(datasetName, tableName);
  }

  public static void createIamPolicy(String datasetName, String tableName) {
    try {
      // Initialize client that will be used to send requests. This client only needs to be created
      // once, and can be reused for multiple requests.
      BigQuery bigquery = BigQueryOptions.getDefaultInstance().getService();

      TableId tableId = TableId.of(datasetName, tableName);

      Policy policy = bigquery.getIamPolicy(tableId);
      policy
          .toBuilder()
          .addIdentity(Role.of("roles/bigquery.dataViewer"), Identity.allUsers())
          .build();
      bigquery.setIamPolicy(tableId, policy);
      System.out.println("Iam policy created successfully");
    } catch (BigQueryException e) {
      System.out.println("Iam policy was not created. \n" + e.toString());
    }
  }
}

アクセスポリシーを更新する

テーブルやビューのアクセスポリシーを更新するには、次の操作を行います。

Console

BigQuery ページに移動します。

BigQuery に移動
[エクスプローラ] パネルでプロジェクトを開いて、データセットを選択します。
データセットを開いて、テーブルまたはビューを選択します。
[共有] をクリックします。
[共有] ページで、次の操作を行います。
- 新しいユーザーを追加するには、アクセスポリシーの作成の手順を行います。
- ユーザーのアクセス権を削除するには、[検索] フィールドを使用してユーザーを検索するか、ユーザーが属するロールを開きます。削除するユーザーの削除アイコンをクリックします。
- ユーザーのアクセス権を変更するには、編集アイコンをクリックします。
変更を加えたら [保存] をクリックします。
[閉じる] をクリックして [共有] ページを閉じます。

SQL

データセット内のテーブルまたはビューからユーザーのロールを削除するには、REVOKE DCL ステートメントを使用します。

Google Cloud コンソールで、[BigQuery] ページに移動します。

BigQuery に移動
クエリエディタで次のステートメントを入力します。
```
REVOKE `ROLE_LIST`
ON TABLE DATASET.TABLE_OR_VIEW
FROM 'USER_LIST';
```
次のように置き換えます。
- ROLE_LIST: ロール、または付与する権限を含むカンマ区切りのリスト（例: roles/bigquery.dataViewer）
- DATASET: リソースが存在するデータセットの名前
- TABLE_OR_VIEW: アクセス権を取り消すテーブルまたはビュー
- USER_LIST: ロールが付与されるユーザーのカンマ区切りのリスト（例: user:joe@example.com）
[ 実行] をクリックします。

クエリの実行方法については、インタラクティブクエリの実行をご覧ください。

bq

既存のポリシーをローカルファイルに取得します。
```
bq get-iam-policy --format=prettyjson \
 project-id:dataset.table_or_view \
 > policy.json
```
ここで
- project-id は、プロジェクト ID です。
- dataset は、更新するテーブルが含まれているデータセットの名前です。
- table_or_view は、更新するテーブルまたはビューの名前です。
テーブルまたはビューを特定し、ポリシーの出力をファイルにリダイレクトする例:
- bq get-iam-policy dataset1.table1 > policy.json
- bq get-iam-policy --project_id=project1 -t dataset1.table1 > policy.json
- bq get-iam-policy project1:dataset1.table1 > policy.json
注意: ポリシーを設定する場合は、まず現在のポリシーを取得し、現在の etag 値を取得してください。更新されたポリシーファイルには、置換中の現在のポリシーと同じ etag 値が含まれている必要があります。含まれていない場合、更新は失敗します。この機能により、同時更新は行われません。

ポリシーファイルの version 番号は 1 のままです。この version 番号は、ポリシーのバージョンではなく、IAM ポリシーのスキーマバージョンを表します。etag 値は、ポリシーのバージョン番号です。
必要に応じて policy.json を変更します。

policy.json ファイルのフォーマットの詳細については、ポリシーについてをご覧ください。

IAM ポリシースキーマのバージョンについては、ポリシーバージョンをご覧ください。
注: メンバーのない空のバインドは許可されません。エラーが発生します。

ポリシーを更新します。

bq set-iam-policy \
 project-id:dataset.table_or_view \
 policy.json

API

tables.getIamPolicy を呼び出して、現在のポリシーを取得します。
ポリシーを編集してメンバーやバインディングを追加します。

ポリシーに必要な形式については、ポリシーリファレンスのトピックをご覧ください。

注意: ポリシーを設定する場合は、まず現在のポリシーを取得し、現在の etag 値を取得してください。更新されたポリシーファイルには、置換中の現在のポリシーと同じ etag 値が含まれている必要があります。含まれていない場合、更新は失敗します。この機能により、同時更新は行われません。

ポリシーファイルの version 番号は 1 のままです。この version 番号は、ポリシーのバージョンではなく、IAM ポリシーのスキーマバージョンを表します。etag 値は、ポリシーのバージョン番号です。
tables.setIamPolicy を呼び出して、更新されたポリシーを書き込みます。
注: メンバーのない空のバインドは許可されません。エラーが発生します。

Java

GitHub で表示フィードバック

import com.google.cloud.Identity;
import com.google.cloud.Policy;
import com.google.cloud.Role;
import com.google.cloud.bigquery.BigQuery;
import com.google.cloud.bigquery.BigQueryException;
import com.google.cloud.bigquery.BigQueryOptions;
import com.google.cloud.bigquery.TableId;
import java.util.HashMap;
import java.util.Map;
import java.util.Set;

// Sample to update iam policy in table
public class UpdateIamPolicy {

  public static void main(String[] args) {
    // TODO(developer): Replace these variables before running the sample.
    String datasetName = "MY_DATASET_NAME";
    String tableName = "MY_TABLE_NAME";
    updateIamPolicy(datasetName, tableName);
  }

  public static void updateIamPolicy(String datasetName, String tableName) {
    try {
      // Initialize client that will be used to send requests. This client only needs to be created
      // once, and can be reused for multiple requests.
      BigQuery bigquery = BigQueryOptions.getDefaultInstance().getService();

      TableId tableId = TableId.of(datasetName, tableName);

      Policy policy = bigquery.getIamPolicy(tableId);
      Map<Role, Set<Identity>> binding = new HashMap<>(policy.getBindings());
      binding.remove(Role.of("roles/bigquery.dataViewer"));

      policy.toBuilder().setBindings(binding).build();
      bigquery.setIamPolicy(tableId, policy);

      System.out.println("Iam policy updated successfully");
    } catch (BigQueryException e) {
      System.out.println("Iam policy was not updated. \n" + e.toString());
    }
  }
}

Identity and Access Management ポリシーの詳細については、ポリシーについてとポリシーのリファレンストピックをご覧ください。

次のステップ

監査ロギングで、テーブルアクセスポリシー管理アクティビティの監査ロギングについて確認する。

テーブルおよびビューへのアクセスの制御

始める前に

アクセス ポリシーの作成に必要な権限

テーブルとビューをクエリするために必要な権限

アクセス ポリシーを作成する

Console

SQL

bq

API

Java

アクセス ポリシーを更新する

Console

SQL

bq

API

Java

次のステップ

アクセスポリシーの作成に必要な権限

アクセスポリシーを作成する

アクセスポリシーを更新する