AWS Glue データカタログへのクロスアカウントアクセスを構成する

Athena のクロスアカウント AWS Glue カタログ機能を使用して、所有するアカウント以外のアカウントから AWS Glue カタログを登録できます。AWS Glue に必要な IAM アクセス許可を設定して、カタログを Athena DataCatalog リソースとして登録したら、Athena を使用してクロスアカウントクエリを実行できます。Athena コンソールを使用して別のアカウントからカタログを登録する方法については、「別のアカウントからデータカタログを登録する」を参照してください。　　　

AWS Glue でのクロスアカウントアクセスの詳細については、「AWS Glue デベロッパーガイド」の「クロスアカウントアクセス許可の付与」を参照してください。

開始する前に

この機能は、既存の Athena DataCatalog リソース API と機能性を使用してクロスアカウントアクセスを有効にするため、開始する前に以下のリソースを読んでおくことが推奨されます。

考慮事項と制限

現在、Athena での AWS Glue カタログのクロスアカウントアクセスには、以下の制約事項があります。

使用を開始する

次のシナリオでは、以下の例にあるように、「借用者」アカウント (666666666666) が「所有者」アカウント (999999999999) に属する AWS Glue カタログを参照する SELECT クエリを実行します。

SELECT * FROM ownerCatalog.tpch1000.customer

以下の手順にあるステップ 1a および 1b は、所有者と借用者の両方の観点から、所有者アカウントの AWS Glue リソースへのアクセス権を借用者アカウントに付与する方法を説明しています。この例は、データベース tpch1000 とテーブル customer へのアクセス権を付与します。これらの例の名前は、要件に合わせて変更してください。

ステップ 1a: 所有者の AWS Glue リソースにアクセスするためのポリシーで借用者ロールを作成する

所有者アカウントの AWS Glue リソースにアクセスするためのポリシーで借用者アカウントロールを作成するには、AWS Identity and Access Management (IAM) コンソール、または IAM API を使用できます。以下の手順では、IAM コンソールを使用します。

ステップ 1b: 借用者に AWS Glue アクセス権を付与する所有者ポリシーを作成する

所有者アカウント (999999999999) から借用者のロールに AWS Glue アクセス権を付与するには、AWS Glue コンソール、または AWS Glue PutResourcePolicy API オペレーションを使用できます。以下の手順では、AWS Glue コンソールを使用します。

完了したら、AWS Glue API を使用してテスト用のクロスアカウントコールをいくつか実行し、許可が期待どおりに設定されているのを確認することをお勧めします。

ステップ 2: 借用者が所有者アカウントに属する AWS Glue Data Catalog を登録する

以下の手順では、Athena コンソールを使用して、所有者の Amazon Web Services アカウント内の AWS Glue Data Catalog をデータソースとして設定する方法を説明します。コンソールの代わりに API オペレーションを使用してカタログを登録する方法については、「(オプション) API を使用して、所有者アカウントに属する Athena Data Catalog を登録します。」(API を使用した所有者アカウントに属する Athena データカタログの登録) を参照してください。

ステップ 3: 借用者がクエリを送信する

以下の例にあるように、借用者が catalog.database.table 構文を使用して、カタログを参照するクエリを送信します。

SELECT * FROM ownerCatalog.tpch1000.customer

借用者は、完全修飾構文を使用する代わりに、カタログを QueryExecutionContext 経由で渡すことによって、コンテキスト的に指定することもできます。

(オプション) 追加の Amazon S3 アクセス許可を設定します。

バケットのアクセス許可の付与に関する詳細は、「Amazon Simple Storage Service ユーザーガイド」の「ACL の設定」を参照してください。

(オプション) カタログを動的に使用します。

前提条件である登録ステップを行うことなく、クロスアカウント AWS Glue カタログに対するテストを素早く実行したいという場合があります。本書に前述されているとおり、必要な IAM 許可と Amazon S3 許可が正しく設定されている場合は、DataCatalog リソースオブジェクトを作成することなくクロスアカウントクエリを動的に実行することができます。

登録せずにカタログを明示的に参照するには、以下の例にある構文を使用します。

SELECT * FROM "glue:arn:aws:glue:us-east-1:999999999999:catalog".tpch1000.customer

「glue:<arn>」形式を使用します。<arn> は、使用する AWS Glue Data Catalog の ARN です。この例では、Athena がこの構文を使用して、アカウント 999999999999 の AWS Glue データカタログのために DataCatalog オブジェクトを別途作成したかのように、それを動的にポイントします。

動的カタログの使用に関する注意事項

動的カタログを使用するときは、以下の点に注意してください。

(オプション) API を使用して、所有者アカウントに属する Athena Data Catalog を登録します。

ステップ 2 の説明に従って Athena コンソールを使用する代わりに、API オペレーションを使用して所有者アカウントに属するデータカタログを登録することができます。

Athena DataCatalog リソースの作成者には、Athena CreateDataCatalog API オペレーションを実行するための許可が必要です。要件によっては、追加の API オペレーションへのアクセス権が必要になる場合もあります。詳細については、「データカタログポリシーの例」を参照してください。

以下の CreateDataCatalog リクエストボディは、クロスアカウントアクセス用に AWS Glue カタログを登録します。

# Example CreateDataCatalog request to register a cross-account Glue catalog:
{
    "Description": "Cross-account Glue catalog",
    "Name": "ownerCatalog",
    "Parameters": {"catalog-id" : "999999999999"  # Owner's account ID
    },
    "Type": "GLUE"
}

以下のサンプルコードは、Java クライアントを使用して DataCatalog オブジェクトを作成します。

# Sample code to create the DataCatalog through Java client
CreateDataCatalogRequest request = new CreateDataCatalogRequest()
    .withName("ownerCatalog")
    .withType(DataCatalogType.GLUE)
    .withParameters(ImmutableMap.of("catalog-id", "999999999999"));

athenaClient.createDataCatalog(request);

これらのステップの後、借用者が ListDataCatalogs API オペレーションを呼び出すと、ownerCatalog が表示されます。

追加リソース