Amazon と AWS Lake Formation ハイブリッドモード DataZone の統合

AWS Lake Formation ハイブリッドモードとの統合を有効にする

1. https://console.aws.amazon.com/datazone の Amazon DataZone コンソールに移動し、アカウントの認証情報でサインインします。

2. ドメインを表示を選択し、 AWS Lake Formation ハイブリッドモードとの統合を有効にするドメインを選択します。

3. ドメインの詳細ページで、ブループリントタブに移動します。

4. ブループリントリストから、DefaultDataLakeブループリントを選択します。

5. DefaultDataLake ブループリントが有効になっていることを確認します。有効になっていない場合は、で組み込みブループリントを有効にする AWS Amazon DataZone ドメインを所有する アカウント「」の手順に従ってアカウントで有効にします AWS 。

6. DefaultDataLake 詳細ページで、プロビジョニングタブを開き、ページの右上隅にある編集ボタンを選択します。

7. 「データロケーション登録」の「チェックボックスをオンにして、データロケーション登録を有効にします。

8. データロケーション管理ロールでは、新しいIAMロールを作成するか、既存のIAMロールを選択できます。Amazon DataZone はこのロールを使用して、 AWS Lake Formation ハイブリッドアクセスモードを使用して、Data Lake 用に選択した Amazon S3 バケット (複数可) への読み取り/書き込みアクセスを管理します。詳細については、「AmazonDataZoneS3Manage -<region>-<domainId＞」を参照してください。

9. オプションで、Amazon がハイブリッドモードで自動的に登録しない場合は DataZone 、特定の Amazon S3 ロケーションを除外できます。これを行うには、次の手順を実行します。

   • トグルボタンを選択して、指定された Amazon S3 の場所を除外します。

   • 除外する Amazon S3 バケットURIの を指定します。

   • 追加のバケットを追加するには、S3 ロケーションの追加を選択します。

     注記

     Amazon では、ルート S3 の場所 DataZone のみを除外できます。ルート S3 ロケーションのパス内の S3 ロケーションは自動的に登録から除外されます。

   • [Save changes] (変更の保存) をクリックします。

1. コンソールを AWS KMS https://console.aws.amazon.com/kms で開き、Identity and Access Management (IAM) 管理ユーザーとして AWS 、またはロケーションの暗号化に使用されるKMSキーのキーポリシーを変更できるユーザーとしてログインします。

2. ナビゲーションペインで、カスタマーマネージドキー を選択し、目的のKMSキーの名前を選択します。

3. KMS キーの詳細ページで、キーポリシータブを選択し、次のいずれかを実行してカスタムロールまたは Lake Formation サービスにリンクされたロールをKMSキーユーザーとして追加します。

   • デフォルトのビューが (キー管理者、キー削除、キーユーザー、その他の AWS アカウントセクションとともに) 表示されている場合は、キーユーザーセクションにAmazonDataZoneDataLocationManagementロールを追加します。

   • キーポリシー (JSON) が表示されている場合 – 次の例に示すように、ポリシーを編集してオブジェクトにAmazonDataZoneDataLocationManagementロールを追加します「キーの使用を許可」

     
     ...
             {
                 "Sid": "Allow use of the key",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": [
                         "arn:aws:iam::111122223333:role/service-role/AmazonDataZoneDataLocationManage-<region>-<domain-id>",
                         "arn:aws:iam::111122223333:user/keyuser"
                     ]
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:ReEncrypt*",
                     "kms:GenerateDataKey*",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             ...