リンクアンドモチベーション Advent Calendar 2024の21日目を担当します。弊社のデータチームで、データ分析の基盤の開発を担当しております。

弊社では今年から、データチームのメンバーを対象とし、BigQueryデータマートの開発・運用を開始しました。(小さく始めるBigQuery：お試し利用から本格導入への道のり)。

これを利用している弊社データチームのアナリストから、次のような相談を受けました。

「これ、(経理が管理する)弊社の営業やコンサルが利用する帳票のデータ基盤に使えたりしない？」

弊社はかなりの割合スプレッドシートを用いてPDCA管理を行っているため、要するに「スプシのデータコネクタを用いたBQ連携を促進したい！」ということです。

スプレッドシートでデータを活用するにあたり、利用する部署ごとに適切なデータを提供し、不要なデータへのアクセスを制限する必要が出てきました。そこで問題になるのが『権限』の話です。

これまでデータを自発的に使ってきていない、さまざまな部署の方が利用する、ということで

という条件のもと、ある程度データマートの利用方法をこちらでハンドリングできないか、と試行錯誤しました。

「普段データを使わない人でも、必要最小限の権限で、BQのデータをスプシで扱える」ために必要な権限として、今回は以下3つのレイヤで権限セットを作成し、管理することにしました。

プロジェクト単位でユーザーに付与する権限(IAM管理)
1. resourcemanager.projects.get
2. bigquery.jobs.create
ユーザーが閲覧したいデータベース単位でユーザーに付与する権限
1. bigquery.datasets.get
2. bigquery.tables.list
ユーザーが利用したいテーブル単位でユーザーに付与する権限
1. bigquery.tables.get
2. bigquery.tables.getData

上記6つの権限でできることは以下になります。

この形になるまでに検討した他の方法と、それを選択しなかった理由も合わせて説明します。

権限をつけるレイヤの検討

今回、プロジェクト・データセット・テーブルの3レイヤで権限をつけましたが、もっとシンプルに、以下のような検討も行いました。
- 必要な権限をプロジェクトレイヤに全部つける
- テーブルレイヤの権限をデータセットレイヤにつける
これらを実行すると、現場が必要最小限以上のデータを閲覧できてしまうことになってしまいます。それによって、
- 最初から多数のデータセットが目について(一覧として表示されて)しまい、利用しづらい
- A部署の人が他部署のデータを見て、利益にならないことを行う可能性がある
というUXとリスクの面からこれらは棄却しました。
「部署ごとに見れるデータを制限する」やり方の検討

今回、「ローデータとして持ってくるのは全社データのみ、それをBigQuery上で部署上で見れるようにする」という条件であったため、2つの実装方針がありました。

	ユーザーの利便性	運用コスト	開発工数・部署変更時の保守工数	通常の保守工数
a. 部署ごとにテーブル作成し、データベース・テーブル単位で権限を管理	◯ 不具合なく利用可能	◯ 先に切り分けておくことでスキャン量を減らせる	× 部署ごとにテーブルの追加が必要部署変更のたびにシートを追加・削除する必要あり	◯ 利用者が変化する際、IAM, テーブル単位のUI操作ですむ
b. 行アクセスポリシーを用いて行レベルで権限を管理	× スプシでデータを抽出するときに「ポリシーで制限されている」の警告が表示される	× 毎回「全社データ」をもとに抽出するためスキャンデータが増大する	◯ 作成するシートは1つで済む	× 利用者が変化する際、更新のたびにクエリを書き直す必要がある

プロジェクト単位、データベース単位、テーブル単位で権限を整理し、最小限の権利を付与することでハンドリングすることを実現しました。

これを実現するために様々なレイヤでの制限を考えたのですが、特に最後の行アクセスポリシーの部分で明確に学んだことは以下になります。

要件を満たせる権限の付け方が複数ある場合、できる限り上流の方で権限を整理すべき！