属性ベースのアクセス制御

AWS Lake Formation では、ロールやユーザーなどの IAM エンティティに関連付けられた IAM タグとセッションタグである属性を使用して、カタログ、データベース、テーブル、データフィルターなどの AWS Glue Data Catalog オブジェクトへのアクセスを許可できます。

セッションタグの使用の詳細については、 AWS CLI ユーザーガイドの assume-role を参照してください。

属性ベースのアクセスコントロール (ABAC) は、属性に基づいてアクセス許可を定義する認可戦略です。 はこれらの属性タグを AWS 呼び出します。ABAC を使用して、同じアカウント内、または Data Catalog リソースの別のアカウント内のプリンシパルへのアクセスを許可できます。一致する IAM タグまたはセッションタグのキーと値を持つ IAM プリンシパルは、リソースにアクセスできます。これらの許可を行うには、リソースに対する付与可能なアクセス許可が必要です。

ABAC を使用すると、複数のユーザーに同時にアクセス権を付与できます。新しいユーザーが組織に加わると、管理者が特定のロールやアクセス許可を手動で割り当てることなく、職務機能や部門などの属性に基づいてデータへのアクセスを自動的に決定できます。ロールの代わりに属性を使用することで、ABAC はさまざまなシステムや環境間でデータアクセスを管理するためのより合理化され、保守可能な方法を提供し、最終的にデータガバナンスとコンプライアンスを強化します。

属性の定義の詳細については、「ABAC 認可を使用して属性に基づいてアクセス許可を定義する」を参照してください。

制限、考慮事項、サポートされている AWS リージョンについては、「」を参照してください属性ベースのアクセスコントロールに関する考慮事項、制限、サポートされているリージョン。