翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# イベントデータストアのフェデレーション
**注記**
AWS CloudTrail Lake は、2026 年 5 月 31 日以降、新規のお客様に公開されなくなります。CloudTrail Lake を使用する場合は、その日付より前にサインアップします。既存のお客様は、通常どおりサービスを引き続き使用できます。詳細については、「[CloudTrail Lake の可用性の変更](cloudtrail-lake-service-availability-change.md)」を参照してください。
イベントデータストアをフェデレーションすると、[データカタログ](https://docs.aws.amazon.com/glue/latest/dg/components-overview.html#data-catalog-intro)内の AWS Glue イベントデータストアに関連付けられたメタデータを表示したり、データカタログを に登録したり AWS Lake Formation、Amazon Athena を使用してイベントデータに対して SQL クエリを実行したりできます。 AWS Glue データカタログに保存されているテーブルメタデータにより、Athena クエリエンジンはクエリするデータを検索、読み取り、処理する方法を知ることができます。
CloudTrail コンソール、 AWS CLIまたは [https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_EnableFederation.html](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_EnableFederation.html) API オペレーションを使用してフェデレーションを有効にできます。Lake クエリフェデレーションを有効にすると、CloudTrail は という名前のマネージドデータベース `aws:cloudtrail` (データベースがまだ存在しない場合) と、 AWS Glue データカタログにマネージドフェデレーションテーブルを作成します。イベントデータストア ID はテーブル名に使用されます。CloudTrail は、フェデレーションロール ARN とイベントデータストアを に登録します。これは[AWS Lake Formation](query-federation-lake-formation.md)、 AWS Glue データカタログ内のフェデレーションリソースのきめ細かなアクセスコントロールを許可するサービスです。
Lake クエリフェデレーションを有効にするには、新しい IAM ロールを作成するか、既存のロールを選択する必要があります。Lake Formation はこのロールを使用して、フェデレーションイベントデータストアのアクセス許可を管理します。CloudTrail コンソールを使用して新しいロールを作成すると、ロールには必要なアクセス許可が CloudTrail により自動的に作成されます。既存のロールを選択する場合は、ロールが[最小限のアクセス許可](#query-federation-permissions-role)を提供していることを確認してください。
CloudTrail コンソール AWS CLI、または [https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_DisableFederation.html](https://docs.aws.amazon.com/awscloudtrail/latest/APIReference/API_DisableFederation.html) API オペレーションを使用して、フェデレーションを無効にすることができます。フェデレーションを無効にすると、CloudTrail は、 AWS Glue、 AWS Lake Formation、および Amazon Athena との統合を無効にします。Lake クエリフェデレーションを無効にした後は、Athena でイベントデータをクエリできなくなります。フェデレーションを無効にしても CloudTrail Lake のデータは削除されず、CloudTrail Lake で引き続きクエリを実行できます。
CloudTrail Lake イベントデータストアのフェデレーションには CloudTrail の料金はかかりません。Amazon Athena でクエリを実行するにはコストがかかります。Athena の料金の詳細については、「[Amazon Athena の料金](https://aws.amazon.com/athena/pricing/)」を参照してください。
[](http://www.youtube.com/watch?v=https://www.youtube.com/embed/cOeZaJt_k-w?si=4LsEgq23NNHSJAAg)
**Topics**
+ [考慮事項](#query-federation-considerations)
+ [フェデレーションに必要なアクセス許可](#query-federation-permissions)
+ [Lake クエリフェデレーションを有効にする](query-enable-federation.md)
+ [Lake クエリフェデレーションを無効にする](query-disable-federation.md)
+ [を使用した CloudTrail Lake フェデレーションリソースの管理 AWS Lake Formation](query-federation-lake-formation.md)
## 考慮事項
イベントデータストアのフェデレーションを行う場合は、以下の要素を考慮してください。
+ CloudTrail Lake イベントデータストアのフェデレーションには CloudTrail の料金はかかりません。Amazon Athena でクエリを実行するにはコストがかかります。Athena の料金の詳細については、「[Amazon Athena の料金](https://aws.amazon.com/athena/pricing/)」を参照してください。
+ Lake Formation は、フェデレーションリソースのアクセス許可を管理するために使用されます。フェデレーションロールを削除するか、Lake Formation または からリソースへのアクセス許可を取り消す場合 AWS Glue、Athena からクエリを実行することはできません。Lake Formation 操作の詳細については、[を使用した CloudTrail Lake フェデレーションリソースの管理 AWS Lake Formation](query-federation-lake-formation.md) を参照してください。
+ Lake Formation に登録されたデータのクエリに Amazon Athena を使用するユーザーには、`lakeformation:GetDataAccess` アクションを許可する IAM アクセス許可ポリシーが必要です。 AWS 管理ポリシー: はこのアクション[https://docs.aws.amazon.com/athena/latest/ug/managed-policies.html#amazonathenafullaccess-managed-policy](https://docs.aws.amazon.com/athena/latest/ug/managed-policies.html#amazonathenafullaccess-managed-policy)を許可します。インラインポリシーを使用する場合は、このアクションを許可するように許可ポリシーを更新してください。詳細については、「[Lake Formation と Athena ユーザー許可の管理](https://docs.aws.amazon.com/athena/latest/ug/lf-athena-user-permissions.html)」を参照してください。
+ Athena のフェデレーションテーブルにビューを作成するには、`aws:cloudtrail` 以外の送信先データベースが必要です。これは、`aws:cloudtrail` データベースが CloudTrail によって管理されているためです。
+ Amazon Quick でデータセットを作成するには、**カスタム SQL **を使用する オプションを選択する必要があります。詳細については、「[Amazon Athena データを使用したデータセットの作成](https://docs.aws.amazon.com/quicksight/latest/user/create-a-data-set-athena.html)」を参照してください。
+ フェデレーションが有効になっている場合、イベントデータストアを削除することはできません。フェデレーションイベントデータストアを削除するには、まず、[フェデレーションを無効化](query-disable-federation.md)し、[終了保護](query-eds-termination-protection.md)が有効になっている場合はこれも無効にする必要があります。
+ 組織のイベントデータストアには、次の考慮事項が適用されます。
+ 組織のイベントデータストアでフェデレーションを有効にできるのは、委任された管理者アカウントの 1 つ、または管理アカウントだけです。他の委任された管理者アカウントも、[Lake Formation データ共有機能](https://docs.aws.amazon.com/lake-formation/latest/dg/data-sharing-overivew.html)を使用して情報をクエリおよび共有することはできます。
+ すべての委任された管理者アカウントも組織の管理アカウントもフェデレーションを無効にできます。
## フェデレーションに必要なアクセス許可
イベントデータストアのフェデレーションを行う前に、フェデレーションロールとフェデレーションの有効化と無効化に必要なすべてのアクセス許可があることを確認してください。フェデレーションロールのアクセス許可を更新する必要があるのは、既存の IAM ロールを選択してフェデレーションを有効にする場合だけです。CloudTrail コンソールを使用して新しい IAM ロールを作成する場合、CloudTrail によってロールに必要なアクセス許可がすべて提供されます。
**Topics**
+ [イベントデータストアのフェデレーションのための IAM アクセス許可](#query-federation-permissions-role)
+ [フェデレーションの有効化に必要なアクセス許可](#query-federation-permissions-enable)
+ [フェデレーションの無効化に必要なアクセス許可](#query-federation-permissions-disable)
### イベントデータストアのフェデレーションのための IAM アクセス許可
フェデレーションを有効にする際に、新しい IAM ロールを作成するか、既存の IAM ロールを使用するか選択できます。新しい IAM ロールを選択すると、CloudTrail は必要な許可を持つ IAM ロールを作成するため、お客様側でそれ以上のアクションは必要ありません。
既存のロールを選択する場合は、IAM ロールのポリシーがフェデレーションを有効にするために必要なアクセス許可を付与していることを確認してください。このセクションでは、必要な IAM ロールのアクセス許可と信頼ポリシーの例を示します。
次の例は、フェデレーションロールのアクセス許可ポリシーを示しています。最初のステートメントには、`Resource` のイベントデータストアの完全な ARN を指定します。
このポリシーの 2 番目のステートメントにより、Lake Formation は KMS キーで暗号化されたイベントデータストアのデータを復号できます。*key-region*、*account-id*、*key-id* は KMS キーの値に置き換えてください。イベントデータストアが暗号化に KMS キーを使用しない場合は、このステートメントを省略できます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "LakeFederationEDSDataAccess",
"Effect": "Allow",
"Action": "cloudtrail:GetEventDataStoreData",
"Resource": "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
},
{
"Sid": "LakeFederationKMSDecryptAccess",
"Effect": "Allow",
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "arn:aws:kms:us-east-1:111111111111:key/key-id"
}
]
}
```
------
次の例は IAM 信頼ポリシーを示しています。これにより、 AWS Lake Formation は、フェデレーションイベントデータストアのアクセス許可を管理する IAM ロールを引き受けることができます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"Service": "lakeformation.amazonaws.com"
},
"Action": "sts:AssumeRole"
}
]
}
```
------
### フェデレーションの有効化に必要なアクセス許可
次のポリシーの例は、イベントデータストアでフェデレーションを有効にするために最低限必要なアクセス許可を提供します。このポリシーにより、CloudTrail はイベントデータストアでフェデレーションを有効に AWS Glue し、 AWS Glue データカタログにフェデレーションリソースを作成し、リソース登録を管理 AWS Lake Formation できます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CloudTrailEnableFederation",
"Effect": "Allow",
"Action": "cloudtrail:EnableFederation",
"Resource": "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
},
{
"Sid": "FederationRoleAccess",
"Effect": "Allow",
"Action": [
"iam:PassRole",
"iam:GetRole"
],
"Resource": "arn:aws:iam::111122223333:role/federation-role-name"
},
{
"Sid": "GlueResourceCreation",
"Effect": "Allow",
"Action": [
"glue:CreateDatabase",
"glue:CreateTable",
"glue:PassConnection"
],
"Resource": [
"arn:aws:glue:us-east-1:111111111111:catalog",
"arn:aws:glue:us-east-1:111111111111:database/aws:cloudtrail",
"arn:aws:glue:us-east-1:111111111111:table/aws:cloudtrail/eds-id",
"arn:aws:glue:us-east-1:111111111111:connection/aws:cloudtrail"
]
},
{
"Sid": "LakeFormationRegistration",
"Effect": "Allow",
"Action": [
"lakeformation:RegisterResource",
"lakeformation:DeregisterResource"
],
"Resource": "arn:aws:lakeformation:region:111111111111:catalog:111111111111"
}
]
}
```
------
### フェデレーションの無効化に必要なアクセス許可
次のポリシーの例は、イベントデータストアでフェデレーションを無効にするために最低限必要なリソースを提供します。このポリシーにより、CloudTrail はイベントデータストアのフェデレーションを無効に AWS Glue し、 AWS Glue データカタログ内のマネージドフェデレーティッドテーブルを削除し、Lake Formation はフェデレーティッドリソースの登録を解除できます。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "CloudTrailDisableFederation",
"Effect": "Allow",
"Action": "cloudtrail:DisableFederation",
"Resource": "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
},
{
"Sid": "GlueTableDeletion",
"Effect": "Allow",
"Action": "glue:DeleteTable",
"Resource": [
"arn:aws:glue:us-east-1:111111111111:catalog",
"arn:aws:glue:us-east-1:111111111111:database/aws:cloudtrail",
"arn:aws:glue:us-east-1:111111111111:table/aws:cloudtrail/eds-id"
]
},
{
"Sid": "LakeFormationDeregistration",
"Effect": "Allow",
"Action": "lakeformation:DeregisterResource",
"Resource": "arn:aws:lakeformation:us-east-1:111111111111:catalog:111111111111"
}
]
}
```
------