QuickSight の行レベルセキュリティ(RLS)とは

QuickSight の行レベルセキュリティ(RLS)を、概要レベルで整理します。
扱うのは「RLS が何をする仕組みで、いつ検討するか」の見当がつくところまでで、実際の設定やチューニングには踏み込みません。

このシリーズは QuickSight の権限を「認証 → 認可 → RLS → IAM 境界」の順にたどる入口記事の3本目です。

• 1本目 QuickSight のログイン方式を整理する（認証）
• 2本目 QuickSight のアクセスはロールとリソース共有で決まる（認可）

この記事では、以下の3つをまとめています。

• RLS が「認証 → ロール×共有」に続く、行を絞る層だということ
• ルールデータセットでどうやって行が絞られるか（概念レベルの仕組み）
• グループ単位でまとめて同じ絞り込みを配れること

「見えるアセット」と「見える行」──層が1段増える

権限を考えるとき、これまでの2本では「誰か」と「どのアセットか」の2つを見てきました。
RLS はそこに「どの行か」という3つ目の層を足します。
段を重ねて並べると、決めている対象が層ごとに違います。

層	何を決めるか	担うもの
誰か	サインインできる人か	認証（1本目）
どのアセット	そのダッシュボードやデータセットが見えるか	ロール×共有（2本目）
どの行	見えるアセットの中で、どの行まで見えるか	RLS（本記事）

上の2層を通ってダッシュボードが見えるようになっても、既定ではそのデータ全体が相手に見えます。
ただし、元になるデータセットに RLS がかかっている場合はそこで行が絞られる、という関係になっています¹。
つまり RLS は、共有の「見える／見えない」の内側で、さらに行単位のフィルタを一段かける層です。

RLS の基本メカニズム──ルールデータセットで行を絞る

RLS は、データセット内のどの行をどのユーザーに見せるかを制御する仕組みです¹。
仕組みの中心にあるのが、絞り込みの条件だけを集めた別のデータセット、ルールデータセット（権限データセット。公式 UI では「アクセス許可データセット」「ユーザーベースのルール」と表示されます）です。

ルールデータセットは、「どのユーザーに、どの値の行を見せるか」の対応表です。ユーザーを識別する列と、絞り込みに使う列を持ちます。地域列を持つ売上データなら、次のようなイメージになります。

ユーザー	ルールでの対応（担当地域）	開いたとき返る行
ユーザーA	東日本	東日本の行だけ
ユーザーB	西日本	西日本の行だけ

同じダッシュボードでも、開く人によって返る行が変わります。処理の流れは次の3ステップです。

1. ユーザーがダッシュボードを開く
2. QuickSight がそのユーザーでルールデータセットを引く
3. 対応づいた値の行だけを、元のデータセットから通す

アクセス権の付与方式

ルールデータセットの各行には、その行を「見せる」ためか「隠す」ためかの意味づけがあります。方式は2つありますが、2026年7月時点で新規に使うのは実質1つです。

付与方式	意味	現行での扱い
許可方式 GRANT_ACCESS	ルールに並べた行だけを見せる	実質これ一択。新規はこちら1
拒否方式 DENY_ACCESS	逆向き（隠す側の指定）	新規データセットでは選べず、後方互換のみ。どの行を見せ／隠すかは現行ドキュメントに明示なし23

概要としては許可方式だけ押さえれば十分です。「ルールに並べた行だけを見せる／対応づいていないユーザーやデータには何も渡さない」という素直な方式で¹、拒否方式は新規で選べない以上、深追いは不要です。

グループ単位で配る

ルールデータセットは、ユーザーを1人ずつ書く代わりに、グループを識別する列を使って書くこともできます¹。
個人ごとに行を並べず、グループ単位でまとめて同じ絞り込みを配れるので、人数が増えても対応表が肥大しにくくなります。

まとめ

• RLS は権限の最後の層: 共有で見えるようになったデータの内側に、行単位のフィルタをもう一段かける。
• 使いどころ: 同じダッシュボードを大勢に配りつつ、人・部署ごとに見える行を変えたいとき。
• 最初の一歩: 元データとは別に「誰に、どの行を見せるか」の対応表（＝ルールデータセット）を1枚用意すること。

関連記事

QuickSight の権限を「認証 → 認可 → RLS → IAM 境界」の順にたどる入口記事です。

• 1本目 QuickSight のログイン方式を整理する（認証）
• 2本目 QuickSight のアクセスはロールとリソース共有で決まる（認可）
• 3本目 QuickSight の行レベルセキュリティ(RLS)とは（本記事）
• 4本目 QuickSight の権限と IAM の関係を整理する（IAM 境界）

1. 行レベルセキュリティ（ユーザーベースのルール）でデータセットへのアクセスを制限する - Amazon QuickSight ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

2. RowLevelPermissionDataSet - Amazon QuickSight API Reference（PermissionPolicy の有効値・DENY_ACCESS は後方互換専用） ↩

3. AWS::QuickSight::DataSet RowLevelPermissionDataSet - AWS CloudFormation（DENY_ACCESS は新規非対応の明記） ↩