AWSPremiumSupport-CollectAWSGlueMetadata

説明

AWSPremiumSupport-CollectAWSGlueMetadata ランブックは、データベース、クローラ、ETL ジョブ、開発エンドポイント、トリガー、ワークフロー、セキュリティ設定など、 AWS Glue リソースの設定メタデータを収集します。ランブックはこのメタデータを、選択した Amazon S3 バケットの JSON レポートに書き込みます。テクニカルアカウントマネージャー (TAM) またはスペシャリストテクニカルアカウントマネージャー (STAM) は、 AWS Glue 運用レビューの一環としてレポートを確認します。このレビューは、 AWS ベストプラクティスに照らして AWS Glue 環境をプロアクティブに評価するものです。

仕組み

Python アプリケーションは AWS Glue メタデータを収集します。アプリケーションは一時的な Amazon EC2 インスタンスで実行されます。ランブックは、埋め込み AWS CloudFormation テンプレートを使用して、新しい分離された Amazon VPC にこの一時インスタンスを作成します。Amazon EC2 インスタンスは、ネットワークアドレス変換 (NAT) ゲートウェイを介したインターネットアクセスを備えたプライベートサブネットで実行されます。ランブックは、同じリージョンの AWS Glue Amazon VPC エンドポイントを介して、Amazon EC2 Systems Manager や Amazon S3 などの AWS サービスにアクセスします。NAT ゲートウェイは、他の AWS リージョンの AWS Glue リソースに関連付けられている Amazon S3 バケットからメタデータを取得します。

ランブックが終了すると、 CloudFormation スタックが削除され、選択した Amazon S3 バケットにレポートがアップロードされます。次に、ランブックは、この運用レビュー AWS のサポートケースにレポートをアタッチします。JSON ファイルは Amazon S3 バケットのルートフォルダにあります。運用レビューと収集されたメタデータについて質問がある場合は、TAM または STAM にお問い合わせください。

このオートメーションを実行する (コンソール)

ドキュメントタイプ

オートメーション

[所有者]

Amazon

[Platforms] (プラットフォーム)

/

ドキュメントパラメータ

AWS Glue メタデータを収集するために必要な IAM アクセス許可

AWS Glue データコレクターアプリケーションでは、このランブックを正常に実行し、選択したプライベート Amazon S3 バケットにファイルをアップロードするために、次のアクションが必要です。IAM ロールは、これらのアクセス許可を一時的な Amazon EC2 インスタンスに自動的に付与します。

このランブックを実行するために必要な IAM アクセス許可

このランブックを実行するには、AutomationAssumeRole または IAM ユーザーに次のアクションが必要です。これらのアクセス許可は、 を使用して新しい一時的な Amazon VPC と Amazon EC2 インスタンスを作成するために必要です CloudFormation。

次のポリシー例は、 に必要な最小特権のアクセス許可を示していますAutomationAssumeRole。REGION、ACCOUNTID、 を独自の値S3_BUCKET_NAMEに置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudFormationStackAccess",
            "Effect": "Allow",
            "Action": [
                "cloudformation:CreateStack",
                "cloudformation:DeleteStack",
                "cloudformation:DescribeStackEvents",
                "cloudformation:DescribeStacks",
                "cloudformation:UpdateStack"
            ],
            "Resource": "arn:aws:cloudformation:REGION:ACCOUNTID:stack/AWSPremiumSupport-CollectAWSGlueMetadata-*/*"
        },
        {
            "Sid": "EC2NetworkingAccess",
            "Effect": "Allow",
            "Action": [
                "ec2:AllocateAddress",
                "ec2:AssociateRouteTable",
                "ec2:AttachInternetGateway",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateInternetGateway",
                "ec2:CreateNatGateway",
                "ec2:CreateRoute",
                "ec2:CreateRouteTable",
                "ec2:CreateSecurityGroup",
                "ec2:CreateSubnet",
                "ec2:CreateTags",
                "ec2:CreateVpc",
                "ec2:CreateVpcEndpoint",
                "ec2:DeleteInternetGateway",
                "ec2:DeleteNatGateway",
                "ec2:DeleteRoute",
                "ec2:DeleteRouteTable",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteSubnet",
                "ec2:DeleteTags",
                "ec2:DeleteVpc",
                "ec2:DeleteVpcEndpoints",
                "ec2:DescribeAddresses",
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInternetGateways",
                "ec2:DescribeNatGateways",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcEndpoints",
                "ec2:DescribeVpcs",
                "ec2:DetachInternetGateway",
                "ec2:DisassociateRouteTable",
                "ec2:ModifySubnetAttribute",
                "ec2:ModifyVpcAttribute",
                "ec2:RebootInstances",
                "ec2:ReleaseAddress",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:RunInstances",
                "ec2:TerminateInstances"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "REGION"
                }
            }
        },
        {
            "Sid": "IAMRoleAccess",
            "Effect": "Allow",
            "Action": [
                "iam:AddRoleToInstanceProfile",
                "iam:AttachRolePolicy",
                "iam:CreateInstanceProfile",
                "iam:CreateRole",
                "iam:DeleteInstanceProfile",
                "iam:DeleteRole",
                "iam:DeleteRolePolicy",
                "iam:DetachRolePolicy",
                "iam:GetInstanceProfile",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "iam:PutRolePolicy",
                "iam:RemoveRoleFromInstanceProfile"
            ],
            "Resource": [
                "arn:aws:iam::ACCOUNTID:role/AWSPremiumSupport-CollectAWSGlueMetadata-*",
                "arn:aws:iam::ACCOUNTID:instance-profile/AWSPremiumSupport-CollectAWSGlueMetadata-*"
            ]
        },
        {
            "Sid": "PassRoleToEC2",
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::ACCOUNTID:role/AWSPremiumSupport-CollectAWSGlueMetadata-*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "ec2.amazonaws.com"
                }
            }
        },
        {
            "Sid": "S3BucketAccess",
            "Effect": "Allow",
            "Action": [
                "s3:GetAccountPublicAccessBlock",
                "s3:GetBucketAcl",
                "s3:GetBucketPolicyStatus",
                "s3:GetBucketPublicAccessBlock",
                "s3:ListBucket"
            ],
            "Resource": "arn:aws:s3:::S3_BUCKET_NAME"
        },
        {
            "Sid": "SSMAutomationAccess",
            "Effect": "Allow",
            "Action": [
                "ssm:DescribeAutomationExecutions",
                "ssm:DescribeInstanceInformation",
                "ssm:GetDocument",
                "ssm:GetParameters",
                "ssm:ListCommandInvocations",
                "ssm:ListCommands",
                "ssm:SendCommand"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "REGION"
                }
            }
        },
        {
            "Sid": "SupportCaseAccess",
            "Effect": "Allow",
            "Action": [
                "support:AddAttachmentsToSet",
                "support:AddCommunicationToCase",
                "support:DescribeCases"
            ],
            "Resource": "*"
        }
    ]
}
        

ドキュメントステップ