Athena를 IAM Identity Center에 연결

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

왼쪽 탐색 창에서 역할을 선택한 다음, 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 유형에서 다음과 같이 사용자 지정 신뢰 정책을 선택합니다.

CreateTokenWithIAM, ListTagsForResource 및 AssumeRoleWithWebIdentity에 대한 액세스 권한을 사용자에게 부여하려면 다음 인라인 정책을 추가합니다.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "athena:ListTags*",
                "sso:ListTags*"
            ],
            "Resource": "*"
        }
    ]
}

애플리케이션 역할의 ARN을 복사합니다.

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

왼쪽 탐색 창에서 역할을 선택한 다음, 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 유형에서 다음과 같이 사용자 지정 신뢰 정책을 선택합니다.

다음 인라인 정책을 추가하여 드라이버 워크플로에 대한 액세스 권한을 부여합니다.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "athena:StartQueryExecution",
                "athena:GetQueryExecution",
                "athena:GetQueryResults",
                "athena:ListWorkGroups",
                "athena:ListDataCatalogs",
                "athena:ListDatabases",
                "athena:ListTableMetadata"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:CreateTable",
                "glue:GetTable",
                "glue:GetTables",
                "glue:UpdateTable",
                "glue:DeleteTable",
                "glue:BatchDeleteTable",
                "glue:GetTableVersion",
                "glue:GetTableVersions",
                "glue:DeleteTableVersion",
                "glue:BatchDeleteTableVersion",
                "glue:CreatePartition",
                "glue:BatchCreatePartition",
                "glue:GetPartition",
                "glue:GetPartitions",
                "glue:BatchGetPartition",
                "glue:UpdatePartition",
                "glue:DeletePartition",
                "glue:BatchDeletePartition"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:GetDataAccess"
            ],
            "Resource": "*"
        }
    ]
}

액세스 역할의 ARN을 복사합니다.

Athena 콘솔 탐색 창에서 작업 그룹(Workgroups)을 선택합니다.

목록에서 작업 그룹을 선택하고 태그 탭을 엽니다.

태그 관리를 선택하고 다음을 입력합니다.

저장을 선택합니다.

ApplicationRoleARN - 애플리케이션 역할의 ARN

JwtWebIdentityToken – ID 확인을 위한 JWT 토큰

WorkgroupARN - Athena 작업 그룹의 ARN

JwtRoleSessionName - JWT 역할의 세션 이름

CredentialsProvider - 자격 증명 제공업체 구성

Athena에서 종속성이 있는 최신 JDBC jar를 다운로드합니다. 자세한 내용은 Athena JDBC 3.x 드라이버 섹션을 참조하세요.

컴퓨터에서 DBeaver 애플리케이션을 엽니다.

화면 상단에서 데이터베이스 메뉴로 이동한 다음 드라이버 관리자를 선택합니다.

새로 만들기를 선택한 다음 라이브러리를 선택합니다.

최신 드라이버를 추가하고 클래스 찾기를 선택합니다. 그러면 com.amazon.athena.jdbc.AthenaDriver와 같은 파일 경로가 제공됩니다.

설정 탭을 열고 다음 필드를 입력합니다.

데이터베이스에 연결을 선택하고 Athena JDBC 신뢰할 수 있는 ID 전파를 찾습니다. 그러면 JDBC URL로 이동합니다. 자세한 내용은 드라이버 구성 섹션을 참조하세요.

다음 세부 정보를 제공합니다.

OK를 선택하여 창을 닫습니다. 이 단계 후에 DBeaver는 메타데이터 로드를 시작하며 카탈로그, 데이터베이스 및 테이블이 채워지는 것을 볼 수 있습니다.

SQL 쿼리 편집기를 열고 쿼리 실행을 시작합니다. 사용자의 전파된 ID를 확인하려면 Cloudtrail 로그를 참조하세요.