チュートリアル: Amazon MWAA ユーザーのアクセスを DAG のサブセットに制限する

Admin ロールを持つ AWS アカウントにサインインし、 IAM コンソールを開きます。

左側のナビゲーションペインで [ユーザー] を選択し、ユーザーテーブルから Amazon MWAA IAM ユーザーを選択します。

ユーザー詳細ページの [概要] で [アクセス許可] タブを選択し、[アクセス許可ポリシー] を選択してカードを展開し、[アクセス許可の追加] を選択します。

[権限の付与] セクションで、[既存のポリシーの直接添付] を選択し、[ポリシーの作成] を選択して、独自のカスタム権限ポリシーを作成して添付します。

[ポリシーの作成] ページで [JSON] を選択し、次の JSON アクセス権限ポリシーをコピーしてポリシーエディターに貼り付けます。このポリシーは、デフォルトの Public Apache Airflow ロールを持つユーザーにウェブサーバーアクセスを許可します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Effect": "Allow",
        "Action": "airflow:CreateWebLoginToken",
        "Resource": [
            "arn:aws:airflow:YOUR_REGION:YOUR_ACCOUNT_ID:role/YOUR_ENVIRONMENT_NAME/Public"
            ]
        }
    ]
 }

管理者の IAM ロールを使用して、Amazon MWAA コンソールを開き、環境の Apache Airflow UI を起動します。

上部のナビゲーションペインで [セキュリティ] にカーソルを合わせてドロップダウンリストを開き、[ロールを一覧表示] を選択してデフォルトの Apache Airflow ロールを表示します。

ロールリストから [ユーザー] を選択し、ページ上部の [アクション] を選択してドロップダウンを開きます。[ロールをコピー] を選択し、[OK] を確認します。

テーブルで作成した新しいロールを探し、[レコードを編集] を選択します。

[ロールを編集] ページで以下を実行します。

[Save] を選択します。これで、Amazon MWAA 環境で使用可能な DAG のサブセットへのアクセスを制限する新しいロールができたはずです。これで、既存の Apache Airflow ユーザーにこのロールを割り当てることができるようになりました。

MWAAUser の アクセス資格情報を使用して、以下の CLI コマンドを実行して環境のウェブサーバー URL を取得してください。

$ aws mwaa get-environment --name YOUR_ENVIRONMENT_NAME | jq '.Environment.WebserverUrl'

成功すれば、次のような出力が表示されます。

"ab1b2345-678a-90a1-a2aa-34a567a8a901.c13.us-west-2.airflow.amazonaws.com"

AWS Management Console に MWAAUser でサインインした状態で、新しいブラウザウィンドウを開いて次の URL にアクセスしてください。Webserver-URL を自分の情報に置き換えます。

https://<Webserver-URL>/home

成功した場合、まだ MWAAUser が Apache Airflow UI へのアクセス許可を得ていないため、Forbidden のエラーページが表示されます。

Admin に AWS Management Console でサインインしたら、Amazon MWAA コンソールを再度開き、環境の Apache Airflow UI を起動してください。

UI ダッシュボードから [セキュリティ] ドロップダウンを展開し、今度は [ユーザーを一覧表示] を選択します。

ユーザーテーブルで新しい Apache Airflow ユーザーを探し、[レコードを編集] を選択します。ユーザーの名前は、次のパターンで IAM ユーザーの名前と一致します：user/mwaa-user。

[ユーザーの編集] ページの [ロール] セクションで、作成した新しいカスタムロールを追加し、[保存] を選択します。

IAM Public プリンシパルは Apache Airflow UI MWAAUser にアクセスする権限を付与し、新しいロールは DAG を確認するために必要な追加の権限を付与します。