DCMプロジェクトに差分PLAN・Java/Python・ポリシー管理を追加

Snowflake DCMプロジェクトのプレビューに、差分だけを評価するPLAN DELTA、Python/Javaハンドラー、タグ・権限付与・ネットワーク・マスキングポリシーなどの宣言的管理が追加されました。

今回の更新で変わること

PLAN DELTAは前回配備から変更された定義と、その下流依存だけを評価します。開発中のフィードバックを速くできますが、公式は配備前に必ず完全なPLANで全変更を確認するよう求めています。差分結果を本番承認の代わりにすると、環境側の差分や変更対象外に見える依存を見落とすためです。DEFINE FUNCTIONとDEFINE PROCEDUREはSQLに加えてPythonとJavaハンドラーを扱い、DCMプロジェクト内で管理できる処理の範囲が広がります。

ATTACH TAGではテーブル・ビューの列を含む管理エンティティへタグを宣言し、配備ごとに割り当てを整合します。INHERITED 権限付与はアカウント、データベース、スキーマに一つの権限付与を定義し、指定オブジェクト型の現在と将来のオブジェクトへ適用しますが、DCMとは独立したアカウントレベルの動作変更パラメーターの有効化が必要です。コンテナーレベルのMANAGE GRANTSは、アカウント全体のSECURITYADMIN権限を渡さずデータベースやスキーマ単位で権限付与管理を委譲します。

さらに、アラートのSTARTED/SUSPENDED 目標状態、外部プロジェクトが管理するテーブル/列へデータ指標関数を付けるEXECUTE AS ROLE、ネットワークルール、ネットワークポリシー、マスキングポリシーのライフサイクル管理が追加されました。マスキングポリシーは作成・変更・削除を管理できますが、テーブルやビューの列への適用はまだ未対応です。いずれもプレビューであり、本番の変更管理では対象オブジェクト、権限、ロールバック、動作変更パラメーターを分離して検証します。宣言的管理が広がるほど、手動変更との競合と差分の扱いが重要になります。

影響を受ける人

Snowflakeオブジェクトをコードで管理するプラットフォーム、セキュリティ、データガバナンスチームと、DCMプロジェクトのプレビュー利用者に関係します。

実務で確認したいこと

開発時だけPLAN DELTAを使い、配備承認では完全なPLANを必須にします。継承権限のアカウントパラメーター、委譲範囲、タグの整合、ネットワーク・マスキングポリシーのロールバックを隔離アカウントで確認します。