Amazon Redshift Query Editor V2 で信頼できる ID の伝播を設定する

Amazon Redshift クラスターまたは Serverless インスタンスが存在するアカウントに、次のアクセス許可ポリシーを使用して IAM ロールを作成します。詳細については、「IAM ロールの作成」を参照してください。

1. 次のポリシーの例には、このチュートリアルを完了するために必要なアクセス許可が含まれています。このポリシーを使用するには、サンプルポリシーのイタリック体のプレースホルダーテキストを独自の情報に置き換えます。その他の手順については、「ポリシーの作成」または「ポリシーの編集」を参照してください。

   アクセス許可ポリシー:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "AllowRedshiftApplication",
               "Effect": "Allow",
               "Action": [
                   "redshift:DescribeQev2IdcApplications",
                   "redshift-serverless:ListNamespaces",
                   "redshift-serverless:ListWorkgroups",
                   "redshift-serverless:GetWorkgroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "AllowIDCPermissions",
               "Effect": "Allow",
               "Action": [
                   "sso:DescribeApplication",
                   "sso:DescribeInstance"
               ],
               "Resource": [
                   "arn:aws:sso:::instance/Your-IAM-Identity-Center-Instance ID",
                   "arn:aws:sso::111122223333:application/Your-IAM-Identity-Center-Instance-ID/*"
               ]
           }
       ]
   }
   

   表示を増やす表示を減らす

   信頼ポリシー:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "redshift-serverless.amazonaws.com",
                       "redshift.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:SetContext"
               ]
           }
       ]
   }
                                       
   

   表示を増やす表示を減らす

IAM アイデンティティセンターが有効になっている AWS Organizations 管理アカウントに許可セットを作成します。次のステップでこれを使用して、フェデレーティッドユーザーが Redshift クエリエディタ V2 にアクセスできるようにします。

1. IAM アイデンティティセンターコンソールに移動し、 [マルチアカウント許可] で、[アクセス許可セット] を選択します。

2. [Create permission set] (アクセス許可セットの作成) を選択します。

3. [カスタムアクセス許可セット] を選択し、[次へ] を選択します。

4. [AWS 管理ポリシー] で、AmazonRedshiftQueryEditorV2ReadSharing を選択します。

5. [インラインポリシー] で、次のポリシーを追加します。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "redshift:DescribeQev2IdcApplications",
                   "redshift-serverless:ListNamespaces",
                   "redshift-serverless:ListWorkgroups",
                   "redshift-serverless:GetWorkgroup"
               ],
               "Resource": "*"
           }
       ]
   }
   

   表示を増やす表示を減らす

6. [次へ] を選択し、アクセス許可セット名の名前を指定します。例えば、Redshift-Query-Editor-V2。

7. [リレー状態 – オプション] で、https://your-region.console.aws.amazon.com/sqlworkbench/home の形式を使用して、デフォルトのリレー状態をクエリエディタ V2 URL に設定します。

8. 設定を確認し、[作成] を選択します。

9. IAM アイデンティティセンターダッシュボードに移動し、[概要の設定] セクションから AWS アクセスポータル URL をコピーします。

   

10. 新しいシークレットブラウザウィンドウを開き、URL を貼り付けます。

    これにより、 AWS アクセスポータルに移動し、IAM Identity Center ユーザーでサインインしていることを確認できます。

    

    アクセス許可セットの詳細については、「アクセス許可セット AWS アカウント を使用して を管理する」を参照してください。

Redshift クエリエディタ V2 へのフェデレーティッドユーザーのアクセスを有効にします。

1. AWS Organizations 管理アカウントで、IAM Identity Center コンソールを開きます。

2. ナビゲーションペインの [マルチアカウント権限] で、AWS アカウント を選択します。

3. AWS アカウント ページで、アクセスを割り当てる AWS アカウント を選択します。

4. 「ユーザーまたはグループを割り当て」を選択します。

5. [ユーザーとグループの割り当て] ページで、アクセス許可セットを作成するユーザーまたはグループを選択します。次に、[次へ] を選択します。

6. [アクセス許可セットの割り当て] ページで、前のステップで作成したアクセス許可セットを選択します。次に、[次へ] を選択します。

7. [割り当てを確認と送信] ページで選択内容を確認し、[送信] を選択します。