はじめに

こんにちは！クラウド事業部の中根です。

以下の記事を書いていた時に、気になる挙動を発見したので、検証してみました。

【AWS DEA】Lake Formationの列レベル・行レベルのアクセス制御を試してみる - APC 技術ブログ

Lake Formationを扱っている方の参考になれば幸いです。

気になる挙動

まずはサンプルデータです。

このデータに対し、regionがUSの行のみ表示するデータフィルター①と、salary列を除外するデータフィルター②を作成し、同時に適用してみました。
どうなると思いますか？
①の結果

②の結果

結果はこちらです。

私は、以下のようにregionがUSかつsalary列以外の列だけ見られるようになっている、と予想していたので驚きました。

得られた結果から、「①と②は独立していて、それぞれの結果が結合される」という挙動と考えればよさそうです。

赤枠部分だけどちらにもないので、見えない状態になります。

行レベルと列レベルのアクセス制御を同時に適用するには？

ドキュメントにもある通り、１つのデータフィルターに定義すれば良いです。
行レベル、列レベルに対して、セルレベルと呼ばれています。

実際にやってみます。
セルレベルのフィルターとして、regionがUSで、salary列を非表示にしてみます。

結果はこちらです。
無事に欲しい結果が得られました。

実験(おまけ)

本題は以上ですが、結論の確認ついでに試したことをおまけで残します。
結論はこちらへ。

行レベル、列レベル、セルレベルの3つを適用すると？

セルレベルの制御が優先されたりしないかと思い、一応やってみました。
行レベルと列レベルは引き続き①と②を使います。
セルレベルのフィルターとして、regionがUSで、department列だけを表示してみます。

結果はこちらです。
セルレベルの制御が優先されることはなく、セルレベルのフィルターで除外された部分は、他のフィルターの結果にカバーされているので表示されていました。