Amazon DataZone と AWS Lake Formation ハイブリッドモードの統合

AWS Lake Formation ハイブリッドモードとの統合を有効にする

1. Amazon DataZone コンソール (https://console.aws.amazon.com/datazone) に移動し、アカウントの認証情報を使用してサインインします。

2. [ドメインを表示] を選択し、AWS Lake Formation ハイブリッドモードとの統合を有効にするドメインを選択します。

3. ドメインの詳細ページで、[ブループリント] タブに移動します。

4. [ブループリント] リストから、DefaultDataLake ブループリントを選択します。

5. DefaultDataLake ブループリントが有効になっていることを確認します。有効になっていない場合は、「Amazon DataZone ドメインを所有する AWS アカウントで組み込みブループリントを有効にする」の手順に従って AWS アカウントで有効にします。

6. DefaultDataLake の詳細ページで、[プロビジョニング] タブを開き、ページの右上隅にある [編集] ボタンを選択します。

7. [データの場所の登録] でチェックボックスをオンにしてデータの場所の登録を有効にします。

8. データの場所の管理ロールでは、新しい IAM ロールを作成するか、既存の IAM ロールを選択できます。Amazon DataZone では、このロールを使用して、AWS Lake Formation ハイブリッドアクセスモードでの、データレイク用に選択した Amazon S3 バケット (複数可) への読み取り/書き込みアクセスを管理します。詳細については、「AmazonDataZoneS3Manage-<region>-<domainId>」を参照してください。

9. オプションで、Amazon DataZone でハイブリッドモードにより自動的に登録しない場合は、特定の Amazon S3 の場所を除外できます。その場合、次の手順を完了します。

   • トグルボタンを選択して、指定した Amazon S3 の場所を除外します。

   • 除外する Amazon S3 バケットの URL を指定します。

   • バケットをさらに追加するには、[S3 の場所を追加] を選択します。

     注記

     Amazon DataZone では、ルート S3 の場所のみを除外できます。ルート S3 の場所のパス内にある S3 の場所は、自動的に登録から除外されます。

   • [変更を保存] を選択します。

1. AWS KMS コンソール (https://console.aws.amazon.com/kms) を開き、AWS Identity and Access Management (IAM) 管理ユーザー、または場所の暗号化に使用された KMS キーのキーポリシーを変更できるユーザーとしてログインします。

2. ナビゲーションペインで [カスタマーマネージドキー] を選択してから、目的の KMS キーの名前を選択します。

3. KMS キーの詳細ページで [キーポリシー] タブを選択してから、以下のいずれかを行って、カスタムロールまたは Lake Formation サービスリンクロールを KMS キーユーザーとして追加します。

   • デフォルトのビューが (キー管理者、キー削除、キーユーザー、その他の AWS アカウントセクションとともに) 表示されている場合は – [キーユーザー] セクションに AmazonDataZoneDataLocationManagement ロールを追加します。

   • キーポリシー (JSON) が表示されている場合 – 次の例に示すように、ポリシーを編集して AmazonDataZoneDataLocationManagement ロールを「キーの使用を許可」オブジェクトに追加します

     
     ...
             {
                 "Sid": "Allow use of the key",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": [
                         "arn:aws:iam::111122223333:role/service-role/AmazonDataZoneDataLocationManage-<region>-<domain-id>"
                     ]
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:ReEncrypt*",
                     "kms:GenerateDataKey*",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             ...