AWS Glue Studio ユーザーに必要な IAM アクセスアクセス許可を確認します

AWS Glue Studio を使用するには、ユーザーはさまざまな AWS リソースにアクセスできる必要があります。ユーザーは、Amazon S3 バケット、IAM ポリシーとロール、および AWS Glue Data Catalog オブジェクト。

AWS Glue サービスのアクセス許可

AWS Glue Studio は、AWS Glue サービスのアクションとリソースを使用します。AWS Glue Studio を効果的に使用するには、ユーザーはこれらのアクションやリソースに対するアクセス許可が必要です。AWS Glue Studio ユーザーに AWSGlueConsoleFullAccess マネージドポリシーを付与するか、より少ないアクセス許可の組み合わせでカスタムポリシーを作成できます。

AWS Glue Studio のためのカスタム IAM ポリシーの作成

AWS Glue Studio では、カスタムポリシーを作成するためのアクセス許可セットを、より小規模にできます。カスタムポリシーは、オブジェクトまたはアクションのサブセットに対しアクセス許可を付与できます。カスタムポリシーを作成する際には、以下の情報を参考にしてください。

AWS Glue Studio API を使用するには、IAM アクセス許可のアクションポリシーに glue:UseGlueStudio を含めます。glue:UseGlueStudio を使用することで、時間の経過とともに API にさらにアクションが追加されても、すべての AWS Glue Studio アクションにアクセスできます。

AWS Glue で定義されるアクションの詳細については、「AWS Glue で定義されるアクション」を参照してください。

データ準備の作成アクション

有向非巡回 (DAG) に関するアクション

ジョブに関するアクション

ジョブ実行に関するアクション

スキーマに関するアクション

データベースに関するアクション

プランに関するアクション

テーブルに関するアクション

接続に関するアクション

マッピングに関するアクション

S3 プロキシに関するアクション

セキュリティ設定に関するアクション

スクリプトに関するアクション

AWS Glue Studio API へのアクセス

AWS Glue Studio にアクセスするには、IAM アクセス許可のアクションポリシーリストに glue:UseGlueStudio を追加します。

以下の例では、glue:UseGlueStudio はアクションポリシーに含まれますが、AWS Glue Studio API は個別に識別されません。これは、glue:UseGlueStudio を含めることで、IAMアクセス許可で個別に AWS Glue Studio APIを指定する必要なしに、内部 API へのアクセス許可が自動的に付与されるためです。

この例では、リストされた追加のアクションポリシー (glue:SearchTables など) が AWS Glue Studio API ではないため、場合によっては IAM アクセス許可に含める必要があります。Amazon S3 プロキシアクションを含めて、付与する Amazon S3 アクセス許可のレベルを指定することもできます。以下のポリシーの例では、選択した IAM ロールに十分なアクセス許可がある場合に、AWS Glue Studio を開く、ビジュアルジョブを作成する、ビジュアルジョブを保存/実行するためのアクセス許可が付与されます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "glue:UseGlueStudio",
                "iam:ListRoles",
                "iam:ListUsers",
                "iam:ListGroups",
                "iam:ListRolePolicies",
                "iam:GetRole",
                "iam:GetRolePolicy",
                "glue:SearchTables",
                "glue:GetConnections",
                "glue:GetJobs",
                "glue:GetTables",
                "glue:BatchStopJobRun",
                "glue:GetSecurityConfigurations",
                "glue:DeleteJob",
                "glue:GetDatabases",
                "glue:CreateConnection",
                "glue:GetSchema",
                "glue:GetTable",
                "glue:GetMapping",
                "glue:CreateJob",
                "glue:DeleteConnection",
                "glue:CreateScript",
                "glue:UpdateConnection",
                "glue:GetConnection",
                "glue:StartJobRun",
                "glue:GetJobRun",
                "glue:UpdateJob",
                "glue:GetPlan",
                "glue:GetJobRuns",
                "glue:GetTags",
                "glue:GetJob",
                "glue:QueryJobRuns",
                "glue:QueryJobs",
                "glue:QueryJobRunsAggregated",
                "glue:SendRecipeAction",
                "glue:GetRecipeAction"
            ],
            "Resource": "*"
        },
        {
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "arn:aws:iam::*:role/AWSGlueServiceRole*",
            "Condition": {
                "StringLike": {
                    "iam:PassedToService": [
                        "glue.amazonaws.com"
                    ]
                }
            }
        }
    ]
}
                    
                

ノートブックとデータのプレビューアクセス許可

データプレビューとノートブックを使用すると、ジョブを実行することなく、ジョブの任意の段階（読み取り、変換、書き込み）でデータのサンプルを表示できます。データにアクセスするときに使用する AWS Identity and Access Management の AWS Glue Studio (IAM)ロールを指定します。IAM ロールは想定可能であることを意図しており、標準の長期認証情報 (パスワードやアクセスキーなど)を関連付けることはありません。その代わり、AWS Glue Studio がそのロールを引き受けて、IAM は一時的なセキュリティ認証情報を提供します。

データプレビューとノートブックコマンドが正しく動作するようにするには、文字列 AWSGlueServiceRole で始まる名前のロールを使用します。ロールに別の名前を使用する場合は、iam:passrole アクセス許可を追加し、IAM のロールに対するポリシーを設定する必要があります。詳しくは、「「AWSGlueServiceRole*」 という名前ではないロールの IAM ポリシーを作成します。 」を参照してください。

IAM ID によるデータプレビューセッションの作成を認めない場合は、「ID によるデータプレビューセッションの作成を拒否する」の例を参照してください。

Amazon CloudWatch のアクセス許可

AWS Glue Studio を使用して Amazon CloudWatch ジョブをモニタリングできます。これは、AWS Glue から raw データを収集して読み取り可能なほぼリアルタイムのメトリクスに処理します。デフォルトでは、AWS Glue メトリクスデータは CloudWatch に自動的に送信されます。詳細については、 Amazon CloudWatch ユーザーガイドの「Amazon CloudWatch とは何ですか?」およびAWS Glue デベロッパーガイドの「AWS Glue メトリクス」を参照してください。

CloudWatch ダッシュボードにアクセスするには、AWS Glue Studio では以下のいずれかが必要です。

ポリシーを使用してIAMユーザーのアクセス許可を変更する方法の詳細については、IAM ユーザーガイドのIAM ユーザーのアクセス許可の変更を参照してください。