Amazon DataZone と AWS Lake Formation ハイブリッドモードの統合

AWS Lake Formation ハイブリッドモードとの統合を有効にする

1. https://console.aws.amazon.com/datazone で Amazon DataZone コンソールに移動し、アカウントの認証情報を使用してサインインします。

2. ドメインを表示を選択し、 AWS Lake Formation ハイブリッドモードとの統合を有効にするドメインを選択します。

3. ドメインの詳細ページで、[ブループリント] タブに移動します。

4. [ブループリント] リストから、DefaultDataLake ブループリントを選択します。

5. DefaultDataLake ブループリントが有効になっていることを確認します。有効になっていない場合は、「Amazon DataZone ドメインを所有する AWS アカウントで組み込みブループリントを有効にする」の手順に従って AWS アカウントで有効にします。

6. DefaultDataLake の詳細ページで、[プロビジョニング] タブを開き、ページの右上隅にある [編集] ボタンを選択します。

7. [データの場所の登録] でチェックボックスをオンにしてデータの場所の登録を有効にします。

8. データの場所の管理ロールでは、新しい IAM ロールを作成するか、既存の IAM ロールを選択できます。Amazon DataZone はこのロールを使用して、 AWS Lake Formation ハイブリッドアクセスモードを使用して、Data Lake 用に選択した Amazon S3 バケット (複数可) への読み取り/書き込みアクセスを管理します。詳細については、「AmazonDataZoneS3Manage-<region>-<domainId>」を参照してください。

9. オプションで、Amazon DataZone でハイブリッドモードにより自動的に登録しない場合は、特定の Amazon S3 の場所を除外できます。その場合、次の手順を完了します。

   • トグルボタンを選択して、指定した Amazon S3 の場所を除外します。

   • 除外する Amazon S3 バケットの URL を指定します。

   • バケットをさらに追加するには、[S3 の場所を追加] を選択します。

     注記

     Amazon DataZone では、ルート S3 の場所のみを除外できます。ルート S3 の場所のパス内にある S3 の場所は、自動的に登録から除外されます。

   • [Save changes] (変更の保存) をクリックします。

1. https://console.aws.amazon.com/kms で AWS KMS コンソールを開き、Identity and Access Management (IAM) 管理ユーザーとして AWS 、または場所の暗号化に使用される KMS キーのキーポリシーを変更できるユーザーとしてログインします。

2. ナビゲーションペインで [カスタマーマネージドキー] を選択してから、目的の KMS キーの名前を選択します。

3. KMS キーの詳細ページで [キーポリシー] タブを選択してから、以下のいずれかを行って、カスタムロールまたは Lake Formation サービスリンクロールを KMS キーユーザーとして追加します。

   • デフォルトビュー (キー管理者、キー削除、キーユーザー、その他の AWS アカウントセクションを含む) が表示されている場合は、キーユーザーセクションに AmazonDataZoneDataLocationManagement ロールを追加します。

   • キーポリシー (JSON) が表示されている場合 – 次の例に示すように、ポリシーを編集して AmazonDataZoneDataLocationManagement ロールを「キーの使用を許可」オブジェクトに追加します

     
     ...
             {
                 "Sid": "Allow use of the key",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": [
                         "arn:aws:iam::111122223333:role/service-role/AmazonDataZoneDataLocationManage-<region>-<domain-id>"
                     ]
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:ReEncrypt*",
                     "kms:GenerateDataKey*",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             ...