リソースリンク許可の付与 - AWS Lake Formation

リソースリンク許可の付与

これらの手順を実行して、1 つ、または複数のリソースリンクに対する AWS Lake Formation 許可を AWS アカウント内のプリンシパルに付与します。

リソースリンクの作成後は、作成したユーザーのみがそのリンクを表示してアクセスすることができます。(これは、データベースに [Use only IAM access control for new tables in this database] (このデータベース内の新しいテーブルには IAM アクセスコントロールのみを使用する) が有効化されていないことを前提としています。) アカウント内の他のプリンシパルがリソースリンクにアクセスすることを許可するには、少なくとも DESCRIBE 許可を付与してください。

重要

リソースリンクに対する許可を付与しても、ターゲットの (リンクされた) データベースまたはテーブルに対する許可は付与されません。ターゲットに対する許可は、別途付与する必要があります。

許可は、Lake Formation コンソール、API、または AWS Command Line Interface (AWS CLI) を使用して付与することができます。

console
Lake Formation コンソールを使用してリソースリンク許可の付与するには

  1. 次のいずれかを行います。

    • データベースリソースリンクの場合は、「名前付きリソース方式を使用したデータベースのアクセス権限の付与」の手順に従って以下を実行します。

      1. [データレイクのアクセス許可を付与] ページを開きます。

      2. データベースを指定します。1 つ、または複数のデータベースリソースリンクを指定します。

      3. プリンシパルを指定します。

    • テーブルリソースリンクの場合は、「名前付きリソース方式を使用したテーブル許可の付与」の手順に従って以下を実行します。

      1. [データレイクのアクセス許可を付与] ページを開きます。

      2. テーブルを指定します。1 つ、または複数のテーブルリソースリンクを指定します。

      3. プリンシパルを指定します。

  2. [Permissions] (許可) で、付与する許可を選択します。オプションで、[Grantable Permissions] (付与可能な許可) を選択します。

    [Permissions] (許可) セクションには 2 つのタイルがあります。各タイルには、オプションボタンとテキストがあります。[Resource link permissions] (リソースリンクの許可) タイルが選択されています。もう一方のタイルは、テーブル許可に関連するものであることから、無効になっています。タイルの下には、付与するリソースリンク許可に対するチェックボックスのグループがあります。チェックボックスには、[Drop] (ドロップ)、[Describe] (記述)、および [Super] (スーパー) があります。そのグループの下には、付与可能な許可に対する同じチェックボックスのグループがもう 1 つあります。

  3. [Grant] (付与) を選択します。

AWS CLI
AWS CLI を使用してリソースリンク許可を付与するには

  • リソースリンクをリソースとして指定して、grant-permissions コマンドを実行します。

    この例は、AWS アカウント 1111-2222-3333 にあるデータベース issues のテーブルリソースリンク incidents-link に対する DESCRIBE をユーザー datalake_user1 に付与します。

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "DESCRIBE" --resource '{ "Table": {"DatabaseName":"issues", "Name":"incidents-link"}}'
以下も参照してください。