Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

パラメータ化されたセキュアなビューを使用して、アプリケーションデータへのアクセスの保護と制御を行う。

パラメータ化されたセキュアビューは、アプリケーションにデータセキュリティと行アクセス制御を提供します。アプリケーションユーザーの ID に基づいてクエリ結果をフィルタします。

このチュートリアルでは、AlloyDB for PostgreSQL でパラメータ化されたセキュアビューを設定し、データベースのロールと権限を構成してベーステーブルへのアクセスを制限し、データセキュリティを検証する方法について説明します。このドキュメントの例はデモ専用です。

パラメータ化されたセキュアビューとは

一般的なベストプラクティスとして、アプリケーションは、データベースへのアクセスに必要な最小限の権限を持つサービスアカウントを使用して実行する必要があります。たとえば、アプリケーションがデータベースに書き込む必要がない場合は、読み取り専用アクセス権を持つロールを使用する必要があります。これらのアクセス制御は、データベースレベルで構成する必要があります。

アプリケーションで標準のデータベースレベルのアクセス許可よりもきめ細かいセキュリティが必要な場合は、パラメータ化されたセキュアビューを使用して、ユーザーが承認されたデータのみを表示できるようにします。パラメータ化されたセキュアビューは、マルチテナント SaaS アプリケーションに適した動的なデータセキュリティと行アクセス制御を提供します。アプリケーションのエンドユーザーごとに個別のデータベースロールは必要ありません。

パラメータ化されたセキュアビューを使用すると、主に次の 3 つのメリットがあります。

動的なデータセキュリティと行アクセス制御: エンドユーザー識別子を使用してクエリをフィルタリングし、クエリのフレーズに関係なく、ユーザーが承認されたデータにのみアクセスできるようにします。
ロール管理の簡素化: 各個人に個別のデータベースロールを管理するのではなく、すべてのアプリケーションユーザーに単一の共有データベースロールを使用します。

目標

名前付きビューパラメータを使用して、パラメータ化されたセキュアビューを作成します。
アプリケーションがデータベースに接続し、パラメータ化されたセキュアビューにアクセスするために使用するデータベースロールを作成します。
新しいロールにパラメータ化されたセキュアビューに対する権限を付与し、ベーステーブルへのアクセス権を取り消します。
新しいロールを使用して接続し、制限付きテーブルにアクセスできないことを確認します。
execute_parameterized_query() 関数または QueryData API を使用して、パラメータ化されたセキュアビューに対してクエリを実行します。

費用

このドキュメントでは、課金対象である次の Google Cloudコンポーネントを使用します。

AlloyDB for PostgreSQL

料金計算ツールを使うと、予想使用量に基づいて費用の見積もりを算出できます。

新規の Google Cloud ユーザーは無料トライアルをご利用いただける場合があります。

このドキュメントのタスクを完了したら、作成したリソースを削除して、それ以上の請求が発生しないようにします。詳細については、クリーンアップをご覧ください。

始める前に

パラメータ化されたセキュアビューを作成する前に、次の前提条件を満たしてください。

課金と必要な API を有効にする

Google Cloud コンソールでプロジェクトを選択します。

プロジェクトセレクタに移動
Google Cloud プロジェクトに対して課金が有効になっていることを確認します。
AlloyDB for PostgreSQL の作成と接続に必要な Cloud APIs を有効にします。
1. API を有効にする
2. [プロジェクトを確認] の手順で、[次へ] をクリックして、変更するプロジェクトの名前を確認します。
3. [API を有効にする] の手順で、[有効にする] をクリックして、次の機能を有効にします。
  - AlloyDB for PostgreSQL API
  - Knowledge Catalog API
  - Data Analytics API with Gemini（geminidataanalytics.googleapis.com）

データベースを作成して接続する

必要なロールを付与して IAM データベースユーザーを作成する

Identity and Access Management（IAM）で認証し、パラメータ化されたセキュアビューに対して queryData リクエストを実行するには、IAM ユーザーまたはサービスアカウントを構成します。

Google Cloud プロジェクトの IAM_USER_EMAIL に次の IAM ロールを付与します。
- roles/geminidataanalytics.queryDataUser
- roles/serviceusage.serviceUsageConsumer
- roles/alloydb.databaseUser
IAM ロールの付与の詳細については、プロジェクトの IAM ポリシーバインディングを追加するをご覧ください。
AlloyDB インスタンスで IAM 認証を有効にし、クラスタに IAM ベースのデータベースユーザーとして IAM_USER_EMAIL を追加します。この IAM データベースユーザーに psv_user データベースロールを付与する前に、この IAM データベースユーザーを作成する必要があります。IAM データベースユーザーの設定の詳細については、IAM 認証を管理するをご覧ください。

環境を準備する

パラメータ化されたセキュアビューでクエリを実行する準備をするには、データベース、データベースのロール、parameterized_views 拡張機能、アプリケーションスキーマを設定します。

データベースフラグを有効にする

必要な拡張機能ライブラリを読み込む parameterized_views.enabled データベースフラグを有効にします。詳細については、インスタンスのデータベースフラグを構成するをご覧ください。

データベースを設定する

アプリケーションデータとパラメータ化されたセキュアビュー用に database というデータベースを作成します。詳細については、データベースを作成するをご覧ください。

データベースロール、拡張機能、アプリケーションスキーマを作成する

Google Cloud コンソールで、[AlloyDB] ページに移動します。

AlloyDB に移動する
リストからクラスタを選択します。
ナビゲーションメニューで [AlloyDB Studio] をクリックします。
管理者アカウント認証を使用して Studio にログインします。
[認証] をクリックします。[エクスプローラ] ペインに、データベースにあるオブジェクトのリストが表示されます。
[新しい SQL エディタタブ] または [新しいタブ] をクリックして、新しいタブを開きます。
パラメータ化ビューを使用するには、データベースにparameterized_views拡張機能を作成します。
```
-- Requires parameterized_views.enabled set to true
CREATE EXTENSION parameterized_views;
```
拡張機能が作成されると、データベースは parameterized_views という名前のスキーマも作成します。これにより、API がそのスキーマの名前空間に含まれ、API が既存の API と競合しないようになります。

注: パラメータ化されたビューが作成されるすべてのデータベースに拡張機能を作成する必要があります。
組み込みの postgres ユーザーなど、スーパーユーザー権限を持つユーザーとしてログインします。新しいスーパーユーザー（admin_user など）を作成する場合は、次のコマンドを実行します。
```
CREATE ROLE admin_user WITH LOGIN PASSWORD '...';
GRANT ALL PRIVILEGES ON DATABASE database TO admin_user;
```
詳細については、CREATE USER をご覧ください。
パラメータ化されたセキュアビューに対してクエリを実行する新しいデータベースロールを作成し、このロールを管理する権限を admin_user に付与します。これは、アプリケーションがデータベースに接続してログインし、公開関数またはオブジェクトへのアクセスを最小限に制限してクエリを実行するために使用する AlloyDB ロールです。
```
CREATE ROLE psv_user WITH LOGIN PASSWORD '...';
GRANT psv_user TO admin_user WITH ADMIN OPTION;
```
詳細については、CREATE USER をご覧ください。
管理者権限を持つユーザーとして接続します。
```
SET role TO admin_user;
```
テーブルを含むスキーマを作成します。
```
CREATE SCHEMA store;
```

テーブルを作成してデータを挿入します。

CREATE TABLE store.checked_items(bag_id INT,timestamp TIMESTAMP, loc_code CHAR(3), scan_type CHAR(1), location TEXT, customer_id INT);

INSERT INTO store.checked_items (bag_id, timestamp, loc_code, scan_type, location, customer_id) VALUES
(101, '2023-10-26 10:00:00', 'ABC', 'I', 'Warehouse A', 123),
(102, '2023-10-26 10:15:30', 'DEF', 'O', 'Loading Dock B', 456),
(103, '2023-10-26 10:30:45', 'GHI', 'I', 'Conveyor Belt 1', 789),
(104, '2023-10-26 11:00:00', 'JKL', 'O', 'Shipping Area C', 101),
(105, '2023-10-26 11:45:15', 'MNO', 'I', 'Sorting Station D', 202),
(106, '2023-10-26 12:00:00', 'PQR', 'O', 'Truck Bay E', 303);

パラメータ化されたセキュアビューを作成し、アクセス権限を設定する

パラメータ化されたセキュアビューを作成し、ベーステーブルとビューに適切なアクセス権を設定するには、次の操作を行います。

Google Cloud コンソールで、[AlloyDB] ページに移動します。

AlloyDB に移動する
リストからクラスタを選択します。
ナビゲーションメニューで [AlloyDB Studio] をクリックします。
Studio にログインし、admin_user ユーザーとして database という名前のデータベースに接続します。
[認証] をクリックします。[エクスプローラ] ペインに、データベースにあるオブジェクトのリストが表示されます。
[新しい SQL エディタタブ] または [新しいタブ] をクリックして、新しいタブを開きます。
ビューへのアクセスを制限するには、パラメータ化されたビューを作成します。
```
CREATE VIEW store.secure_checked_items WITH (security_barrier) AS
SELECT bag_id, timestamp, location
FROM store.checked_items t
WHERE customer_id = $@app_end_userid;
```
注: パラメータ化されたセキュアビューを作成するときは、$@app_end_userid などの一意のパラメータ名を使用してください。

ビューへのアクセス権を付与します。

GRANT SELECT ON store.secure_checked_items TO psv_user;

ビューにアクセスするには、スキーマへのアクセス権を付与します。
```
GRANT USAGE ON SCHEMA store TO psv_user;
```
ベーステーブルへの直接アクセスを取り消します。
```
REVOKE ALL PRIVILEGES ON store.checked_items FROM psv_user;
```
注: パラメータ化ビューのオーナーには、ベーステーブルに対する SELECT 権限が必要です。また、パラメータ化されたビューのユーザーには、ビューのスキーマに対する USAGE と、ビューに対する SELECT が必要です。たとえば、admin_user ユーザーはパラメータ化されたビューを所有しているため、ベーステーブルに対する SELECT 権限を持っています。一方、psv_user は store スキーマに対する USAGE とビューに対する SELECT を持っている必要があります。
IAM_USER_EMAIL が IAM データベースユーザーとしてクラスタに追加されていることを確認し、postgres ユーザーまたは admin_user としてログインして、IAM 認証ユーザーに psv_user ロールを付与します。
```
GRANT psv_user TO "IAM_USER_EMAIL";
```
IAM_USER_EMAIL は、IAM ユーザーのメールアドレスに置き換えます。

データセキュリティを確認する

パラメータ化されたセキュアビューが指定されたビューへのアクセスを制限していることを確認するには、IAM 認証ユーザーとしてデータベースにログインします。AlloyDB では、IAM ユーザーは、割り当てられたデータベースロールの権限を継承します。

IAM 認証ユーザーとしてデータベースにログインします。

ベーステーブルにアクセスできないことを確認します。

SELECT * FROM store.checked_items;
ERROR:  permission denied for table checked_items

execute_parameterized_query 関数を使用して、パラメータ化されたセキュアビューにアクセスします。

SELECT * FROM parameterized_views.execute_parameterized_query(
  query => 'SELECT * from store.secure_checked_items',
  param_names => ARRAY ['app_end_userid'],
  param_values => ARRAY ['303']
);

gcloud auth application-default login を実行して IAM_USER_EMAIL として Google Cloud CLI にログインし、gcloud auth application-default print-access-token が制限付き IAM データベースユーザーのトークンを生成するようにします。次に、PSV パラメータを指定して queryData メソッドを使用し、パラメータ化されたセキュアビューをクエリします。
```
  curl -X POST \
    "https://geminidataanalytics.googleapis.com/v1beta/projects/PROJECT_ID/locations/REGION:queryData" \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "x-goog-user-project: PROJECT_ID" \
    -H "Content-Type: application/json; charset=utf-8" \
    -d '{
      "prompt": "Show me the checked items.",
      "context": {
        "datasource_references": {
          "alloydb": {
            "database_reference": {
              "project_id": "PROJECT_ID",
              "region": "REGION",
              "cluster_id": "CLUSTER_ID",
              "instance_id": "INSTANCE_ID",
              "database_id": "DATABASE_ID",
              "table_ids": [
                "store.secure_checked_items"
              ]
            }
          }
        },
        "parameterized_secure_view_parameters": {
          "parameters": [
            {
              "key": "app_end_userid",
              "value": "303"
            }
          ]
        }
      },
      "generation_options": {
        "generate_query_result": true,
        "generate_natural_language_answer": true,
        "generate_explanation": true
      }
    }'
```
database_reference の table_ids フィールドを使用して、QueryData が store.secure_checked_items パラメータ化されたセキュアビューに対してのみ SQL を生成するようにします。table_ids を省略し、データベースロールに store.checked_items ベーステーブルに対する SELECT アクセス権がある場合、QueryData はセキュアビューをバイパスしてベーステーブルに直接クエリを実行する可能性があります。table_ids の修飾されていない名前はデフォルトで public スキーマになるため、スキーマ修飾ビュー名を指定します。

次のように置き換えます。
- PROJECT_ID: 実際の Google Cloud プロジェクト ID。
- REGION: AlloyDB for PostgreSQL インスタンスが配置されているリージョン。
- CLUSTER_ID: AlloyDB for PostgreSQL クラスタの ID。
- INSTANCE_ID: AlloyDB for PostgreSQL インスタンスの ID。
- DATABASE_ID: AlloyDB for PostgreSQL データベースの ID。このチュートリアルでは database です。
クリーンアップ

クラスタの削除

始める前にセクションで作成したクラスタを削除すると、作成したすべてのオブジェクトも削除されます。
1. Google Cloud コンソールで、[AlloyDB] ページに移動します。
  
  AlloyDB に移動する
2. リストからクラスタを選択します。
3. [クラスタを削除] をクリックします。
4. [クラスタを削除] でクラスタの名前を入力して、クラスタの削除を確認します。
次のステップ
- パラメータ化されたセキュアビューについて学習する。
- パラメータ化されたセキュアビューを使用してアプリケーションデータセキュリティを管理する方法を学習する。

パラメータ化されたセキュアなビューを使用して、アプリケーション データへのアクセスの保護と制御を行う。 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

パラメータ化されたセキュアビューとは

目標

費用

始める前に

課金と必要な API を有効にする

データベースを作成して接続する

必要なロールを付与して IAM データベース ユーザーを作成する

環境を準備する

データベース フラグを有効にする

データベースを設定する

データベース ロール、拡張機能、アプリケーション スキーマを作成する

パラメータ化されたセキュアビューを作成し、アクセス権限を設定する

データ セキュリティを確認する

クリーンアップ

クラスタの削除

次のステップ

パラメータ化されたセキュアなビューを使用して、アプリケーションデータへのアクセスの保護と制御を行う。

必要なロールを付与して IAM データベースユーザーを作成する

データベースフラグを有効にする

データベースロール、拡張機能、アプリケーションスキーマを作成する

データセキュリティを確認する