属性ベースのアクセスコントロール

AWS Lake Formation では、ロールやユーザーなどの IAM エンティティに関連付けられた IAM タグとセッションタグである属性を使用して、カタログ、データベース、テーブル、データフィルターなどの AWS Glue Data Catalog オブジェクトへのアクセスを許可できます。

セッションタグの使用の詳細については、 AWS CLI ユーザーガイドの assume-role を参照してください。

属性ベースのアクセスコントロール (ABAC) は、属性に基づいてアクセス許可を定義する認可戦略です。 はこれらの属性タグを AWS 呼び出します。ABAC を使用して、同じアカウント内、またはデータカタログリソース上の別のアカウント内のプリンシパルにアクセスを許可できます。一致する IAM タグまたはセッションタグのキーと値を持つすべての IAM プリンシパルがリソースにアクセスできます。これらの許可を行うには、リソースに対する付与可能なアクセス許可が必要です。

ABAC を使用すると、複数のユーザーに同時にアクセスを許可できます。新しいユーザーが組織に加わると、管理者が特定のロールやアクセス許可を手動で割り当てなくても、ジョブ機能や部門などの属性に基づいてデータへのアクセス権を自動的に決定できます。ABAC は、ロールの代わりに属性を使用することで、さまざまなシステムや環境間でデータアクセスをより合理的で保守しやすい方法で管理できるようにし、最終的にデータガバナンスとコンプライアンスを強化します。

属性の定義の詳細については、「ABAC 認可で属性に基づいてアクセス許可を定義する」を参照してください。

制限、考慮事項、サポートされている AWS リージョンについては、「」を参照してください属性ベースのアクセス制御に関する考慮事項、制限、サポートされているリージョン。