Athena を IAM Identity Center に接続する

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

左側のナビゲーションで [ロール] を選択し、続いて [ロールの作成] を選択します。

[信頼できるエンティティタイプ] で、[カスタム信頼ポリシー] を選択して次のようにします。

次のインラインポリシーを追加して、CreateTokenWithIAM、ListTagsForResource、および AssumeRoleWithWebIdentity のアクセス許可をユーザーに付与します。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "athena:ListTags*",
                "sso:ListTags*"
            ],
            "Resource": "*"
        }
    ]
}

アプリケーションロールの ARN をコピーします。

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

左側のナビゲーションで [ロール] を選択し、続いて [ロールの作成] を選択します。

[信頼できるエンティティタイプ] で、[カスタム信頼ポリシー] を選択して次のようにします。

次の[インラインポリシー]を追加して、ドライバーワークフローへのアクセスを許可します。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "athena:StartQueryExecution",
                "athena:GetQueryExecution",
                "athena:GetQueryResults",
                "athena:ListWorkGroups",
                "athena:ListDataCatalogs",
                "athena:ListDatabases",
                "athena:ListTableMetadata"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:CreateTable",
                "glue:GetTable",
                "glue:GetTables",
                "glue:UpdateTable",
                "glue:DeleteTable",
                "glue:BatchDeleteTable",
                "glue:GetTableVersion",
                "glue:GetTableVersions",
                "glue:DeleteTableVersion",
                "glue:BatchDeleteTableVersion",
                "glue:CreatePartition",
                "glue:BatchCreatePartition",
                "glue:GetPartition",
                "glue:GetPartitions",
                "glue:BatchGetPartition",
                "glue:UpdatePartition",
                "glue:DeletePartition",
                "glue:BatchDeletePartition"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:GetDataAccess"
            ],
            "Resource": "*"
        }
    ]
}

アクセスロールの ARN をコピーします。

Athena コンソールのナビゲーションペインで、[Workgroups] (ワークグループ) をクリックします。

リストからワークグループを選択し、[タグ] タブを開きます。

[タグの管理] を選択し、次のように入力します。

[保存] を選択します。

[ApplicationRoleARN] – アプリケーションロールの ARN

[JwtWebIdentityToken] – ID 検証用の JWT トークン

[WorkgroupARN] – Athena ワークグループの ARN

[JwtRoleSessionName] – JWT ロールのセッション名

[CredentialsProvider] – 認証情報プロバイダーの設定

Athena から依存関係を持つ最新の JDBC jar をダウンロードします。詳細については、「Athena JDBC 3.x ドライバー」を参照してください。

コンピュータで DBeaver アプリケーションを開きます。

画面上部の [データベース] メニューに移動し、[ドライバーマネージャー] を選択します。

[新規] を選択し、次に [ライブラリ] を選択します。

最新のドライバーを追加し、[クラスの検索] を選択します。これにより、com.amazon.athena.jdbc.AthenaDriver のようなファイルパスが提供されます。

[設定] タブを開き、次のフィールドを指定します。

[データベースに接続] を選択し、「Athena JDBC の信頼できる ID の伝播」を検索します。これにより、JDBC URL に移動します。詳細については、「ドライバーの設定」を参照してください。

次の詳細情報を入力します。

[OK] を選択してウィンドウを閉じます。DBeaver はこのステップの後にメタデータのロードを開始します。カタログ、データベース、テーブルが入力され始めます。

[SQL クエリエディタ]を開き、クエリの実行を開始します。ユーザーの伝播された ID を確認するには、「Cloudtrail ログ」を参照してください。