- 例えば、各自が所属する部門に関する行（レコード）だけを表示させたい場合など、ROLEに応じて操作範囲を制限したい場合に使えるRedshiftの機能 (2022年7月GA)。
-
RLS: Row-level Securityといい、基本はRBAC（Role-Base Access Control）を使う。 - SQLだけで操作できる。
- 列レベルのアクセス制御機能と組み合わせることで、より細かい制御が可能。
参考）
- AWS公式ブログ：Achieve fine-grained data security with row-level access control in Amazon Redshift
- AWS公式ドキュメント
ざっくり仕組みを理解
-
ROLE（IAM ROLEとは別）を定義する。例：管理者、運用者、XX利用部門 -
RLSポリシーを定義し、行レベルフィルタルールをSQLで書く - ROLEには列レベルのアクセス制御のルールもセットできる
- RLSポリシーをテーブルとROLEに紐付け（
アタッチ）する - DBユーザーはROLEと紐づける（
GRANT）
参考）AWS公式ブログ：Achieve fine-grained data security with row-level access control in Amazon Redshift
ユースケース例
- 地理的な位置に基づいてデータアクセスを制限（自分が所属するエリアに限定）
- 個人の給与だけを見るアクセス制限
- マネージャーは直属部下情報のみを参照し、他部門の情報を参照させない
- 医師と看護師が患者のデータ行のみを表示できるようにする
- 従業員の事業部門や会社における役割に基づいて、財務データ行へのアクセスを制限
- 各テナントのデータ行を、他のすべてのテナントのデータ行から論理的に分離する
やってみる
事前準備
まずはサンプル顧客テーブルとサンプルユーザ準備
CREATE TABLE customer
(
customerid INT8 NOT NULL,
customername VARCHAR(25) NOT NULL,
phone CHAR(15) NOT NULL,
nationid INT4 NOT NULL,
marketsegment CHAR(10) NOT NULL,
accountbalance NUMERIC(12,2) NOT NULL
);
INSERT INTO customer VALUES
(1, 'Customer#000000001', '33-687-542-7601', 3, 'HOUSEHOLD', 2788.52),
(2, 'Customer#000000002', '13-806-545-9701', 1, 'MACHINERY', 591.98),
(3, 'Customer#000000003', '13-312-472-8245', 1, 'HOUSEHOLD', 3332.02),
(4, 'Customer#000000004', '23-127-851-8031', 2, 'MACHINERY', 9255.67),
(5, 'Customer#000000005', '13-137-193-2709', 1, 'BUILDING', 5679.84)
;
CREATE USER staff WITH password 'Abcd1234!';
CREATE USER manager WITH password 'Abcd1234!';
1) ROLE作成
CREATE ROLE [ROLE名];
例）
CREATE ROLE role_household;
CREATE ROLE role_manager;
特定セグメントのみアクセスするROLEと、全体をアクセスできるROLEを作成しておく
2) RLSポリシー作成
CREATE RLS POLICY [ポリシー名] WITH ([参照対象列]) USING ([クエリの WHERE 句に適用されるフィルター])
※ WITHはオプション
https://docs.aws.amazon.com/ja_jp/redshift/latest/dg/r_CREATE_RLS_POLICY.html
例）
-- HOUSEHOLDセグメントのみアクセス許可するポリシー
CREATE RLS POLICY policy_household
WITH (marketsegment CHAR(10))
USING (marketsegment = 'HOUSEHOLD');
-- 全部参照可
CREATE RLS POLICY policy_manager
USING (ture);
3) RLSポリシーをROLEにアタッチ
ATTACH RLS POLICY [ポリシー名] ON [テーブル] TO ROLE [ROLE名]
https://docs.aws.amazon.com/ja_jp/redshift/latest/dg/r_ATTACH_RLS_POLICY.html
※ TOの後はユーザでもセット可能
例）
ATTACH RLS POLICY policy_household ON customer TO ROLE role_household;
ATTACH RLS POLICY policy_manager ON customer TO ROLE role_manager;
4) ROLEに権限付与
GRANT [権限] ON [テーブル名] TO ROLE [ROLE名];
例）
GRANT SELECT ON customer TO ROLE role_household;
GRANT SELECT,UPDATE,DELETE ON customer TO ROLE role_manager;
5) RLSセキュリティ機能を有効化
ALTER TABLE [テーブル名] ROW LEVEL SECURITY on;
例）
ALTER TABLE customer ROW LEVEL SECURITY on;
6) ROLEとユーザを紐付け
GRANT ROLE [ROLE名] TO [ユーザ]
例）
GRANT ROLE role_household TO staff;
GRANT ROLE role_manager TO manager;
動作確認
staffユーザの場合
SET SESSION AUTHORIZATION 'staff';
select * from customer;
update customer set phone = 'xxxx';
RESET SESSION AUTHORIZATION;
updateは権限がないためPermission Deniedになり、参照結果は意図通りmarketsegementがHOUSEHOLDの行だけ表示される。
managerユーザの場合
SET SESSION AUTHORIZATION 'manager';
select * from customer;
update customer set marketsegment = 'BUILDINGS' where marketsegment = 'BUILDING';
RESET SESSION AUTHORIZATION;
制限をかけていないので全行表示され、UPDATE権限も付与したので、更新も成功する
