行レベルのアクセスコントロールによるデータレイクの保護

Lake Formation 設定を変更する

1. 米国東部 (バージニア北部) リージョンまたは米国西部 (オレゴン) リージョンで、Lake Formation コンソール (https://console.aws.amazon.com/lakeformation/) にサインインします。

2. [Data Catalog] で、[Settings] (設定) を選択します。

3. [Use only IAM access control for new databases] (新しいデータベースには IAM アクセスコントロールのみを使用する) と [Use only IAM access control for new tables in new databases] (新しいデータベース内の新しいテーブルには IAM アクセスコントロールのみを使用する) を選択解除します。

4. [Save] (保存) を選択します。

リソースを作成する

CloudFormation テンプレートを使用してリソースを作成するには、以下のステップに従います。

1. 米国東部 (バージニア北部) リージョンで CloudFormation コンソール (https://console.aws.amazon.com/cloudformation) にサインインします。

2. [スタックの起動] を選択します。

3. [Create Stack] (スタックの作成) 画面で、[Next] (次へ) を選択します。

4. [Stack name] (スタック名) を入力します。

5. [DataLakeAdminUserName] と [DataLakeAdminUserPassword] に、データレイク管理者ユーザーとして自分の IAM ユーザーネームおよびパスワードを入力します。

6. [DataAnalystUsUserName] と [DataAnalystUsUserPassword] に、米国マーケットプレイスを担当するデータアナリストとして指定するユーザーのユーザーネームとパスワードを入力します。

7. [DataAnalystJpUserName] と [DataAnalystJpUserPassword] に、日本マーケットプレイスを担当するデータアナリストとして指定するユーザーのユーザーネームとパスワードを入力します。

8. [DataLakeBucketName] に、データバケットの名前を入力します。

9. [DatabaseName] と [TableName] は、デフォルトのままにします。

10. [Next] (次へ) を選択します。

11. 次のページで、[Next] (次へ) を選択します。

12. 最終ページで詳細を確認し、[I acknowledge that CloudFormation might create IAM resources] (CloudFormation によって IAM リソースが作成される場合があることを承認します) を選択します。

13. [Create] (作成) を選択します。

    スタックの作成が完了するまでに 1 分かかる場合があります。

行レベルのアクセスコントロールなしでテーブルに対してクエリを実行する

1. DatalakeAdmin ユーザーとして Athena コンソール (https://console.aws.amazon.com/athena/) にサインインし、次のクエリを実行します。

   SELECT * 
   FROM lakeformation_tutorial_row_security.amazon_reviews
   LIMIT 10        

   次のスクリーンショットは、クエリ結果を示しています。このテーブルのパーティションは 1 つ (product_category=Video) のみであるため、各レコードは動画製品のレビューコメントを示します。

   

2. 次に、集計クエリを実行して、marketplace あたりのレコードの総数を取得します。

   SELECT marketplace, count(*) as total_count
   FROM lakeformation_tutorial_row_security.amazon_reviews
   GROUP BY marketplace

   次のスクリーンショットは、クエリ結果を示しています。marketplace 列には 5 つの異なる値があります。以降のステップでは、marketplace 列を使用して行ベースのフィルターをセットアップします。

   

データフィルターを作成して許可を付与する

1. US marketplace データへのアクセスを制限するためのフィルターを作成します。

   1. 米国東部 (バージニア北部) リージョンで DatalakeAdmin ユーザーとして Lake Formation コンソール (https://console.aws.amazon.com/lakeformation/) にサインインします。

   2. [Data filters] (データフィルター) を選択します。

   3. [Create new filter] (新しいフィルターの作成) を選択します。

   4. [Data filter name] (データフィルター名) に、「amazon_reviews_US」と入力します。

   5. [Target database] (ターゲットデータベース) で、データベース lakeformation_tutorial_row_security を選択します。

   6. [Target table] (ターゲットテーブル) で、テーブル amazon_reviews を選択します。

   7. [Column-level access] (列レベルのアクセス) は、デフォルトのままにします。

   8. [Row filter expression] (行フィルター式) に「marketplace='US'」と入力します。

   9. [フィルターを作成] をクリックします。

2. 日本の marketplace データへのアクセスを制限するフィルターを作成します。

   1. [Data filters] (データフィルター) ページで、[Create new filter] (新しいフィルターを作成) を選択します。

   2. [Data filter name] (データフィルター名) に、「amazon_reviews_JP」と入力します。

   3. [Target database] (ターゲットデータベース) で、データベース lakeformation_tutorial_row_security を選択します。

   4. [Target table] (ターゲットテーブル) で、table amazon_reviews を選択します。

   5. [Column-level access] (列レベルのアクセス) は、デフォルトのままにします。

   6. [Row filter expression] (行フィルター式) に「」と入力しますmarketplace='JP'

   7. [フィルターを作成] をクリックします。

3. 次に、これらのデータフィルターを使用して、データアナリストに許可を付与します。米国のデータアナリスト (DataAnalystUS) に許可を付与するには、以下のステップに従います。

   1. [Permissions] (許可) で [Data lake permissions] (データレイクの許可) を選択します。

   2. [Data permission] (データの許可) で、[Grant] (付与) を選択します。

   3. [Principals] (プリンシパル) で、[IAM users and roles] (IAM ユーザーおよびロール)を選択し、ロール DataAnalystUS を選択します。

   4. [LF-tags or catalog resources] (LF タグまたはカタログリソース) で、[Named data catalog resources] (名前付きの Data Catalog リソース) を選択します。

   5. [Database] (データベース) で、lakeformation_tutorial_row_security を選択します。

   6. [Tables-optional] (テーブル-オプション) で、amazon_reviews を選択します。

   7. [Data filters – optional] (データフィルター - オプション) で、amazon_reviews_US を選択します。

   8. [Data filter permissions] (データフィルターの許可) で、[Select] (選択) を選択します。

   9. [Grant] (付与) を選択します。

4. 日本のデータアナリスト (DataAnalystJP) に許可を付与するには、以下のステップに従います。

   1. [Permissions] (許可) で、[Data lake permissions] (データレイクの許可) を選択します。

   2. [Data permission] (データの許可) で、[Grant] (付与) を選択します。

   3. [Principals] (プリンシパル) で、[IAM users and roles] (IAM ユーザーおよびロール)を選択し、ロール DataAnalystJP を選択します。

   4. [LF-tags or catalog resources] (LF タグまたはカタログリソース) で、[Named data catalog resources] (名前付きの Data Catalog リソース) を選択します。

   5. [Database] (データベース) で、lakeformation_tutorial_row_security を選択します。

   6. [Tables-optional] (テーブル-オプション) で、amazon_reviews を選択します。

   7. [Data filters – optional] (データフィルター - オプション) で、amazon_reviews_JP を選択します。

   8. [Data filter permissions] (データフィルターの許可) で、[Select] (選択) を選択します。

   9. [Grant] (付与) を選択します。

1. Athena コンソール (https://console.aws.amazon.com/athena/) に DataAnalystUS ユーザーとしてサインインします。

2. 次のクエリを実行し、定義した行レベルの許可に基づいてフィルタリングされたレコードをいくつか取得します。

   SELECT * 
   FROM lakeformation_tutorial_row_security.amazon_reviews
   LIMIT 10       

   次のスクリーンショットは、クエリ結果を示しています。

   

3. 同様に、クエリを実行し、マーケットプレイスごとのレコードの総数をカウントします。

   SELECT marketplace , count ( * ) as total_count
   FROM lakeformation_tutorial_row_security .amazon_reviews
   GROUP BY marketplace 

   このクエリ結果には、結果内の marketplace US のみが表示されます。これは、ユーザーに許可された表示は、marketplace 列の値が US と等しい行のみであるためです。

4. DataAnalystJP ユーザーに切り替えて、同じクエリを実行します。

   SELECT * 
   FROM lakeformation_tutorial_row_security.amazon_reviews
   LIMIT 10       

   クエリ結果には、JP marketplace に属するレコードのみが表示されます。

5. クエリを実行し、marketplace あたりのレコードの総数をカウントします。

   SELECT marketplace, count(*) as total_count
   FROM lakeformation_tutorial_row_security.amazon_reviews
   GROUP BY marketplace      

   クエリ結果には、JP marketplace に属する行のみが表示されます。

リソースをクリーンアップする

AWS アカウントへの不要な請求が発生しないように、このチュートリアルで使用した AWS リソースを削除できます。

• Cloud Formation スタックを削除します。