기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# 메타데이터 액세스 제어를 위한 LF 태그 표현식 관리
<a name="managing-tag-expressions"></a>

 LF 태그 표현식은 AWS Glue Data Catalog 리소스에 대한 권한을 부여하는 데 사용되는 하나 이상의 LF 태그(키-값 페어)로 구성된 논리적 표현식입니다. LF 태그 표현식을 사용하면 메타데이터 태그를 기반으로 데이터 리소스에 대한 액세스를 제어하는 규칙을 정의할 수 있습니다. 이러한 표현식을 저장하고 여러 권한 부여에서 재사용하여 일관성을 보장하고 시간이 지남에 따라 태그 온톨로지의 변경 사항을 쉽게 관리할 수 있습니다.

지정된 LF 태그 표현식 내에서 태그 키는 AND 작업을 사용하여 결합되고 값은 OR 작업을 사용하여 결합됩니다. 예를 들어, `content_type:Sales AND location:US` 태그 표현식은 미국의 판매 데이터와 관련된 리소스를 나타냅니다.

 AWS 계정에서 최대 1,000개의 LF 태그 표현식을 생성할 수 있습니다. 이러한 표현식은 메타데이터 태그를 기반으로 권한을 관리하는 유연하고 확장 가능한 방법을 제공하므로, 권한이 부여된 사용자 또는 애플리케이션만 정의된 태그 규칙을 기반으로 특정 데이터 리소스에 액세스할 수 있습니다.

LF 태그 표현식은 다음과 같은 이점을 제공합니다.
+ **재사용성 **- LF 태그 표현식을 정의하고 저장하면 다른 리소스 또는 보안 주체에 권한을 할당할 때 더 이상 동일한 표현식을 수동으로 복제할 필요가 없습니다.
+ **일관성 **- 여러 권한 부여에서 LF 태그 표현식을 재사용하면 권한이 부여되고 관리되는 방식의 일관성이 보장됩니다.
+ **태그 온톨로지 관리** - LF 태그 표현식을 사용하면 개별 권한 부여를 수정하는 대신 저장된 표현식을 업데이트할 수 있으므로, 시간 경과에 따른 태그 온톨로지 변경 사항을 관리하는 데 도움이 됩니다.

태그 기반 액세스 제어에 대한 자세한 내용은 [Lake Formation 태그 기반 액세스 제어](tag-based-access-control.md) 섹션을 참조하세요.

**LF 태그 표현식 생성자**  
LF 태그 표현식 생성자는 LF 태그 표현식을 생성하고 관리할 권한이 있는 보안 주체입니다. 데이터 레이크 관리자는 Lake Formation 콘솔, CLI, API 또는 SDK를 사용하여 LF 태그 표현식 생성자를 추가할 수 있습니다. LF 태그 표현식 생성자는 LF 태그 표현식을 생성, 업데이트 및 삭제하고 다른 보안 주체에게 LF 태그 표현식 권한을 부여할 수 있는 암시적 Lake Formation 권한을 가집니다.

데이터 레이크 관리자가 아닌 LF 태그 표현식 생성자는 자신이 생성한 표현식에 대해서만 암시적 `Alter`, `Drop`, `Describe`, `Grant with LF-Tag expression` 권한을 받습니다.

또한, 데이터 레이크 관리자는 LF 태그 표현식 생성자에게 부여 가능한 `Create LF-Tag expression` 권한을 부여할 수 있습니다. 그러면 LF 태그 표현식 생성자는 LF 태그 표현식을 생성할 권한을 다른 보안 주체에 부여할 수 있습니다.

**Topics**
+ [LF 태그 표현식 생성에 필요한 IAM 권한](#tag-expression-creator-permissions)
+ [LF 태그 표현식 생성자 추가](#add-lf-tag-expression-creator)
+ [LF 태그 표현식 생성](TBAC-creating-tag-expressions.md)
+ [LF 태그 표현식 업데이트](TBAC-updating-expressions.md)
+ [LF 태그 표현식 삭제](TBAC-deleting-expressions.md)
+ [LF 태그 표현식 나열](TBAC-listing-expressions.md)

**다음 사항도 참조하세요.**  
[LF 태그 값 권한 관리](TBAC-granting-tags.md)
[LF-TBAC 방법을 사용하여 데이터 레이크 권한 부여](granting-catalog-perms-TBAC.md)
[Lake Formation 태그 기반 액세스 제어](tag-based-access-control.md)

## LF 태그 표현식 생성에 필요한 IAM 권한
<a name="tag-expression-creator-permissions"></a>

 Lake Formation 보안 주체가 LF 태그 표현식을 생성하도록 권한을 구성해야 합니다. LF 태그 표현식 생성자가 되어야 하는 보안 주체에 대한 권한 정책에 다음 문을 추가합니다.

**참고**  
데이터 레이크 관리자는 LF 태그 및 LF 태그 표현식을 생성, 업데이트 및 삭제하고, 리소스에 LF 태그를 할당하고, 보안 주체에 LF 태그 및 LF 태그 표현식 권한을 부여할 수 있는 암시적인 Lake Formation 권한을 가지고 있으나 다음과 같은 IAM 권한도 필요합니다.

자세한 내용은 [Lake Formation 페르소나 및 IAM 권한 참조](permissions-reference.md) 단원을 참조하십시오.

```
{
"Sid": "Transformational",
"Effect": "Allow",
    "Action": [
        "lakeformation:AddLFTagsToResource",
        "lakeformation:RemoveLFTagsFromResource",
        "lakeformation:GetResourceLFTags",
        "lakeformation:ListLFTags",
        "lakeformation:CreateLFTag",
        "lakeformation:GetLFTag",
        "lakeformation:UpdateLFTag",
        "lakeformation:DeleteLFTag",
        "lakeformation:SearchTablesByLFTags",
        "lakeformation:SearchDatabasesByLFTags",
        "lakeformation:CreateLFTagExpression",
        "lakeformation:DeleteLFTagExpression",
        "lakeformation:UpdateLFTagExpression",
        "lakeformation:GetLFTagExpression",
        "lakeformation:ListLFTagExpressions",
        "lakeformation:GrantPermissions",
        "lakeformation:RevokePermissions",
        "lakeformation:BatchGrantPermissions",
        "lakeformation:BatchRevokePermissions"
     ]
 }
```

## LF 태그 표현식 생성자 추가
<a name="add-lf-tag-expression-creator"></a>

LF 태그 표현식 생성자는 재사용 가능한 LF 태그 표현식을 생성 및 저장하고, 태그 키 및 값을 업데이트하고, 표현식을 삭제하고, LF-TBAC 메서드를 사용하여 Data Catalog 리소스에 대한 권한을 보안 주체에 부여할 수 있습니다. LF 태그 표현식 생성자는 이러한 권한을 보안 주체에 부여할 수도 있습니다.

 AWS Lake Formation 콘솔, API 또는 AWS Command Line Interface ()를 사용하여 LF 태그 표현식 생성자 역할을 생성할 수 있습니다AWS CLI.

------
#### [ console ]

**LF 태그 표현식 생성자를 추가하려면**

1. Lake Formation 콘솔([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/))을 엽니다.

   데이터 레이크 관리자로 로그인합니다.

1. 탐색 창의 **권한**에서 **LF 태그 및 권한**을 선택합니다.

1. **LF 태그 표현식** 탭을 선택합니다.

1. **LF 태그 표현식 생성자** 섹션에서 **LF 태그 표현식 생성자 추가**를 선택합니다.  
![권한이 있는 IAM 사용자 datalake_user를 보여주는 LF 태그 표현식 생성자 세부 정보 컨테이너입니다.](http://docs.aws.amazon.com/ko_kr/lake-formation/latest/dg/images/add-lf-tag-expression-creator.png)

1. **LF 태그 표현식 생성자 추가** 페이지에서 LF 태그 표현식을 생성하는 데 필요한 권한을 가진 IAM 역할 또는 사용자를 선택합니다.

1. `Create LF-Tag expression` 권한 확인란을 선택합니다.

1. (선택 사항) 선택한 보안 주체가 보안 주체에 `Create LF-Tag expression` 권한을 부여할 수 있도록 하려면 부여 가능한 `Create LF-Tag expression` 권한을 선택합니다.

1. **추가**를 선택합니다.

------
#### [ AWS CLI ]

```
aws lakeformation grant-permissions --cli-input-json file://grantCreate
{
    "Principal": {
        "DataLakePrincipalIdentifier": "arn:aws:iam::123456789012:user/tag-manager"
    },
    "Resource": {
        "Catalog": {}
    },
    "Permissions": [
        "CreateLFTagExpression"
    ],
    "PermissionsWithGrantOption": [
        "CreateLFTagExpression"
    ]
}
```

------

LF 태그 표현식 생성자 역할은 LF 태그 표현식을 생성, 업데이트 또는 삭제할 수 있습니다.


| 권한 | 설명 | 
| --- | --- | 
| Create | 이 권한이 있는 보안 주체는 데이터 레이크에 LF 태그 표현식을 추가할 수 있습니다. | 
| Drop | LF 태그 표현식에 대한 이 권한이 있는 보안 주체는 데이터 레이크에서 LF 태그 표현식을 삭제할 수 있습니다. | 
| Alter | LF 태그 표현식에 대한 이 권한이 있는 보안 주체는 LF 태그 표현식의 표현식 본문을 업데이트할 수 있습니다. | 
| Describe | LF 태그 표현식에 대한 이 권한이 있는 보안 주체는 LF 태그 표현식의 내용을 볼 수 있습니다. | 
| Grant with LF-Tag expression | 이 권한을 통해 수신자는 데이터 또는 메타데이터 액세스 권한을 부여할 때 태그 표현식을 리소스로 사용할 수 있습니다. Grant with LF-Tag expression 권한을 부여하면 암시적으로 Describe 권한이 부여됩니다. | 
| Super | LF 태그 표현식의 경우 Super 권한은 태그 표현식에 대한 Describe, Alter, Drop 및 다른 보안 주체에게 권한을 부여할 수 있는 권한을 부여합니다. | 

이러한 권한은 부여가 가능합니다. 권한 부여 옵션을 통해 이러한 권한을 부여받은 보안 주체는 다른 보안 주체에 해당 권한을 부여할 수 있습니다.