フェデレーション ID を使用して、ローカルリソースと Amazon Redshift Spectrum の外部テーブルへの Amazon Redshift アクセスを管理する

IAM ID を作成する。これはユーザーまたは IAM ロールのどちらでも構いません。IAM がサポートする任意の名前を使用してください。

ID に許可ポリシーをアタッチします。次のいずれかを指定します。

IAM コンソールを使用して、ポリシーエディタで権限を追加できます。

IAM ID には、外部データにアクセスするための権限も必要です。以下の AWS マネージドポリシーを直接追加して、Amazon S3 へのアクセスを許可します。

AWS Glue を使用して外部データを準備する場合は、最後のマネージドポリシーが必要です。Amazon Redshift Spectrum へのアクセスを許可する手順の詳細については、Amazon Redshift と Redshift Spectrum の入門ガイドの一部である「Amazon Redshift 用の IAM ロールの作成」を参照してください。これは Redshift Spectrum にアクセスするための IAM ポリシーを追加する手順を示しています。

Amazon Redshift に接続する SQL クライアントの設定。Amazon Redshift JDBC ドライバーを使用して、ユーザーの認証情報をツールの認証情報プロパティに追加します。SQL Workbench/J のようなクライアントはこれに適しています。次のクライアント接続拡張プロパティを設定します。

Amazon Redshift または Amazon Redshift サーバーレスコンソールにある JDBC エンドポイントの URL を設定します。URL スキーマを jdbc:redshift:iam: に置き換え、次の書式を使用してください。

IAM ID を使用して初めてデータベースに接続すると、Amazon Redshift は自動的に同じ名前の Amazon Redshift ID を作成し、プレフィックスとして IAM ユーザーの場合は IAM:、IAM ロールの場合は IAMR: を付けます。このトピックの残りのステップでは、ユーザー向けの例を示します。

Redshift ユーザーが自動的に作成されない場合は、管理者アカウントを使用して CREATE USER ステートメントを実行し、IAM:<user name> の形式でユーザー名を指定することで作成できます。

Amazon Redshift クラスター管理者として、Redshift ユーザーに外部スキーマへのアクセスに必要なアクセス権限を付与します。

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

Redshift ユーザーに外部スキーマにテーブルを作成する権限を付与するには、そのユーザーがスキーマの所有者である必要があります。例:

ALTER SCHEMA my_schema owner to "IAM:my_user";

設定を検証するには、アクセス許可を付与した後で、SQL クライアントを使用してユーザーとしてクエリを実行します。このクエリサンプルは、外部テーブルからデータを取得します。

SELECT * FROM my_schema.my_table;

ローカルテーブルと外部テーブルを作成します。AWS Glue でカタログ化された外部テーブルがこれに該当します。

IAM ID を使用して Amazon Redshift に接続します。前のセクションで説明したように、Amazon Redshift に ID が接続されると、Redshift データベースユーザーが作成されます。ユーザーが以前には存在しなかった場合は作成されます。新規ユーザーの場合、管理者はユーザーにクエリやテーブルの作成など、Amazon Redshift でタスクを実行する権限を付与する必要があります。

管理者アカウントで Redshift に接続します。SESSION 値を使用して、外部スキーマを作成するコマンドを実行します。

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

この場合、catalog_id が設定されていることに注意してください。これは、SESSION によって特定のロールを置き換えるため、この機能で追加された新しい設定になります。

この例では、クエリ内の値は実際の値がどのように表示されているかを示しています。

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

この場合の catalog_id の値は、AWS アカウント ID です。

ステップ 2 で接続した IAM ID を使用して、クエリを実行して外部データにアクセスします。例:

select * from spectrum_schema.table1;

この場合、例えば table1 は Amazon S3 バケット内のファイル内の JSON 形式のデータである可能性があります。

クラスターにアタッチされた IAM ロールを使用する外部スキーマが既に存在し、外部データベースまたはスキーマを参照している場合は、既存のスキーマを置き換えて、このステップで説明しているフェデレーション ID を使用するか、新しいスキーマを作成できます。