MaxCompute:ラベルベースのアクセス制御

サポートされる機能

• 列レベルのサポート：サポートされる最も細かい粒度は列レベルです。テーブル内の任意の 列 に秘密度レベルのラベルを設定できます。これにより、テーブルは異なる秘密度レベルの列で構成できます。

• ビューのサポート：ビューに秘密度レベルのラベルを設定できます。ビュー の秘密度レベルのラベルは、その ソーステーブル のラベルとは独立しています。

• パーティション列 への秘密度レベルのラベルの設定は サポートされていません。

サポートされる操作

プロジェクトオーナーまたは Admin ロールを持つユーザーは、次の操作を実行できます。

• テーブルまたは列への秘密度レベルの設定

• ユーザーまたはロールへのアクセスレベルの設定

• ラベル権限の明示的な付与

• 明示的なラベル権限の取り消し

• 期限切れ権限情報のクリア

これらの操作は、MaxCompute クライアント、MaxCompute Studio、DataWorks などのツールを使用して実行できます。

デフォルトのアクセス制御ポリシー

• No-ReadUp：ユーザーが自身のアクセスレベルより高い秘密度レベルのデータに アクセスする ことを禁止します。ビジネスシナリオでこれが必要な場合は、明示的な付与を実行する必要があります。詳細については、「ラベル権限の明示的な付与」をご参照ください。

• Trusted-User：ユーザーが自身のアクセスレベル以下の秘密度レベルのデータを 書き込む ことを許可します。新しく作成されたテーブルまたはビューは、デフォルトでレベル 0 (機密ではない) に設定されます。新しいユーザーもデフォルトでレベル 0 に設定されます。

例 1：秘密度レベルの設定

-- Bob が test_project プロジェクトを使用します。
USE test_project;

-- sale_detail テーブルのラベルをレベル 1 に設定します。この時点で、テーブル内のすべての列の秘密度レベルは 1 になります。
SET Label 1 TO TABLE sale_detail; 

-- sale_detail の shop_name と customer_id 列のラベルをレベル 2 に設定します。他の列はレベル 1 のままです。
SET Label 2 TO TABLE sale_detail(shop_name, customer_id); 
-- テーブルのラベル情報を表示します。
DESCRIBE sale_detail;
-- 結果は次のとおりです。
+------------------------------------------------------------------------------------+
| TableLabel:                                                                        |
| MaxLabel:                 L2                                                       |
+------------------------------------------------------------------------------------+
| InternalTable: YES      | Size: 0                                                  |
+------------------------------------------------------------------------------------+
| Native Columns:                                                                    |
+------------------------------------------------------------------------------------+
| Field           | Type       | Label | Comment                                     |
+------------------------------------------------------------------------------------+
| shop_name       | string     | 2     | 店舗名                                     |
| customer_id     | string     | 2     | 顧客 ID                                      |
| total_price     | double     | 1     | 注文合計金額                                     |
+------------------------------------------------------------------------------------+

-- sale_detail テーブルのラベルをレベル 3 に変更します。shop_name と customer_id 列のラベルはレベル 2 のままで、他の列のラベルは 3 に変更されることに注意してください。
SET Label 3 TO TABLE sale_detail; 
-- テーブルのラベル情報を表示します。
DESCRIBE sale_detail;
-- 結果は次のとおりです。
+------------------------------------------------------------------------------------+
| TableLabel:               3                                                        |
| MaxLabel:                 L3                                                       |
+------------------------------------------------------------------------------------+
| InternalTable: YES      | Size: 0                                                  |
+------------------------------------------------------------------------------------+
| Native Columns:                                                                    |
+------------------------------------------------------------------------------------+
| Field           | Type       | Label | Comment                                     |
+------------------------------------------------------------------------------------+
| shop_name       | string     | 2     | 店舗名                                        |
| customer_id     | string     | 2     | 顧客 ID                                        |
| total_price     | double     | 3     | 注文合計金額                                        |
+------------------------------------------------------------------------------------+

-- sale_detail テーブルの shop_name と customer_id 列のラベルをレベル 4 に変更します。他の列のラベルはレベル 3 のままです。
SET Label 4 TO TABLE sale_detail(shop_name, customer_id); 

-- テーブルのラベル情報を表示します。
DESCRIBE sale_detail;
-- 結果は次のとおりです。
+------------------------------------------------------------------------------------+
| TableLabel:               3                                                        |
| MaxLabel:                 L4                                                       |
+------------------------------------------------------------------------------------+
| InternalTable: YES      | Size: 0                                                  |
+------------------------------------------------------------------------------------+
| Native Columns:                                                                    |
+------------------------------------------------------------------------------------+
| Field           | Type       | Label | Comment                                     |
+------------------------------------------------------------------------------------+
| shop_name       | string     | 4     | 店舗名                                        |
| customer_id     | string     | 4     | 顧客 ID                                        |
| total_price     | double     | 3     | 注文合計金額                                        |
+------------------------------------------------------------------------------------+

例 2：ユーザーアクセスレベルの設定

• プロジェクト内の通常のユーザー：Kate@aliyun.com

• プロジェクト内の RAM ユーザー：RAM$Bob@aliyun.com:Allen

-- Bob が test_project プロジェクトを使用します。
USE test_project;
-- Kate のアクセスレベルのラベルを 3 に設定します。Kate は秘密度レベル 0 ～ 3 のデータにアクセスできます。
SET Label 3 TO USER ALIYUN$Kate@aliyun.com; 

-- RAM ユーザー Allen のアクセスレベルのラベルを 1 に設定します。Allen は秘密度レベル 0 ～ 1 のデータにアクセスできます。
SET Label 1 TO USER RAM$Bob@aliyun.com:Allen; 

-- Allen のアクセスレベル情報を表示します。
SHOW LABEL GRANTS FOR RAM$Bob@aliyun.com:Allen;
-- 結果は次のとおりです。
User Label: 1

(granted label list is empty)

例 3：権限の明示的な付与

-- test_project プロジェクトを使用します。
USE test_project;

-- Allen に sale_detail テーブル内の秘密度レベル 3 までのデータへのアクセス権限を明示的に付与します。権限は 4 日間有効です。
GRANT LABEL 3 ON TABLE sale_detail TO USER RAM$Bob@aliyun.com:Allen WITH exp 4; 
-- Allen への明示的な付与の結果を表示します。
SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
-- 結果は次のとおりです。
User Label: 1
+-------------+--------------+--------------------------+
| Column      | GrantedLabel | Expires                  |
+-------------+--------------+--------------------------+
| total_price | 3            | 2025-12-26T11:13:20+0800 |
+-------------+--------------+--------------------------+

-- Allen に sale_detail テーブルの shop_name、customer_id、total_price 列の秘密度レベル 4 までのデータへのアクセス権限を明示的に付与します。権限は 10 日間有効です。
GRANT LABEL 4 ON TABLE sale_detail(shop_name, customer_id, total_price) TO USER RAM$Bob@aliyun.com:Allen WITH exp 10;
-- Allen への明示的な付与の結果を表示します。
SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
-- 結果は次のとおりです。
User Label: 1
+-------------+--------------+--------------------------+
| Column      | GrantedLabel | Expires                  |
+-------------+--------------+--------------------------+
| customer_id | 4            | 2026-01-01T11:14:40+0800 |
+-------------+--------------+--------------------------+
| shop_name   | 4            | 2026-01-01T11:14:40+0800 |
+-------------+--------------+--------------------------+
| total_price | 4            | 2026-01-01T11:14:40+0800 |
+-------------+--------------+--------------------------+

例 4：明示的な権限の取り消し

-- 以前のデータ権限設定では：
-- 最初に、Allen に sale_detail テーブル内の秘密度レベル 3 までのデータへのアクセス権限が明示的に付与されました。
-- 次に、Allen に sale_detail テーブルの shop_name、customer_id、total_price 列の秘密度レベル 4 までのデータへのアクセス権限が明示的に付与されました。

-- Allen の sale_detail テーブルの shop_name、customer_id、total_price 列に対する列レベルのデータアクセス権限を取り消します。
REVOKE LABEL ON TABLE sale_detail(shop_name, customer_id, total_price) FROM USER RAM$Bob@aliyun.com:Allen;
-- Allen の権限が取り消された後の結果を表示します。
SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
-- 結果は次のとおりです。
User Label: 1
+-------------+--------------+--------------------------+
| Column      | GrantedLabel | Expires                  |
+-------------+--------------+--------------------------+
| total_price | 3            | 2025-12-26T11:13:20+0800 |
+-------------+--------------+--------------------------+

-- Allen の sale_detail テーブル内の機密データへのアクセス権限を取り消します。
REVOKE LABEL ON TABLE sale_detail FROM USER RAM$Bob@aliyun.com:Allen; 
-- Allen の権限が取り消された後の結果を表示します。
SHOW LABEL GRANTS ON TABLE sale_detail FOR USER RAM$Bob@aliyun.com:Allen;
-- 結果は次のとおりです。
User Label: 1

(granted label list is empty)