AWS Glue 데이터 카탈로그에 대한 크로스 계정 액세스 구성

Athena의 계정 간 AWS Glue 카탈로그 기능을 사용해 자신의 계정이 아닌 다른 계정의 AWS Glue 카탈로그를 등록할 수 있습니다. AWS Glue에 요구되는 IAM 권한을 구성하고 카탈로그를 Athena DataCatalog 리소스로 등록하면 Athena를 사용해 계정 간 쿼리를 실행할 수 있습니다. Athena 콘솔을 사용하여 다른 계정의 카탈로그를 등록하는 방법에 대한 자세한 내용은 다른 계정의 데이터 카탈로그 등록 단원을 참조하세요.

AWS Glue에서 계정 간 액세스에 대한 자세한 내용은 AWS Glue 개발자 안내서의 계정 간 액세스 권한 부여를 참조하세요.

시작하기 전에

이 기능은 기존의 Athena DataCatalog 리소스 API 및 계정 간 액세스를 활성화하는 기능을 사용하므로 시작하기 전에 다음 리소스를 읽어보는 것이 좋습니다.

고려 사항 및 제한

현재 Athena 계정 간 AWS Glue 카탈로그에는 다음과 같은 제한 사항이 있습니다.

시작

다음 상황에서는 다음 예제처럼 '차용자' 계정(666666666666)이 AWS Glue 카탈로그를 참조하는 SELECT 쿼리를 실행하려 합니다. 이 카탈로그는 '소유자' 계정(999999999999)에 속해 있습니다.

SELECT * FROM ownerCatalog.tpch1000.customer

다음 절차에서 1a 및 1b 단계는 차용자와 소유자의 관점에서 소유자 계정의 AWS Glue 리소스에 대한 액세스 권한을 차용자 계정에 부여하는 방법을 보여줍니다. 이 예제에서는 tpch1000 데이터베이스와 customer 테이블에 액세스 권한을 부여합니다. 이러한 예제 이름을 요구 사항에 맞게 변경합니다.

1a 단계: 소유자의 AWS Glue 리소스에 액세스하는 정책을 가진 차용자 역할 생성

소유자 계정의 AWS Glue 리소스에 대한 액세스 권한이 포함된 차용자 계정 역할을 생성하려면 AWS Identity and Access Management(IAM) 콘솔 또는 IAM API를 사용할 수 있습니다. 다음 절차에서는 IAM 콘솔을 사용합니다.

1b 단계: 차용자에 대해 AWS Glue 액세스 권한을 부여하는 소유자 정책 생성

소유자 계정(999999999999)으로부터 차용자의 역할에 AWS Glue 액세스 권한을 부여하려면 AWS Glue 콘솔 또는 AWS Glue PutResourcePolicy API 작업을 사용합니다. 다음 절차에서는 AWS Glue 콘솔을 사용합니다.

완료 후 AWS Glue API를 사용해 계정 간 호출을 몇 차례 테스트하여 권한이 예상대로 구성되었는지 확인하는 것이 좋습니다.

2단계: 차용자가 소유자 계정에 속한 AWS Glue Data Catalog 등록

다음 절차는 Athena 콘솔을 사용하여 소유자 Amazon Web Services 계정의 AWS Glue Data Catalog를 데이터 소스로 구성하는 방법을 보여줍니다. 콘솔 대신 API 작업을 사용하여 카탈로그를 등록하는 방법에 대한 자세한 내용은 (선택 사항) API를 사용하여 소유자 계정에 속한 Athena 데이터 카탈로그 등록 단원을 참조하세요.

3단계: 차용자가 쿼리 제출

다음 예제처럼 차용자가 catalog.database.table 구문을 사용해 카탈로그를 참조하는 쿼리를 제출합니다.

SELECT * FROM ownerCatalog.tpch1000.customer

정규화된 구문을 사용하는 대신 차용자는 QueryExecutionContext를 통해 이를 전달하여 상황에 맞게 카탈로그를 지정할 수도 있습니다.

(선택 사항) 추가 Amazon S3 권한 구성

버킷 권한 부여에 대한 자세한 내용은 Amazon Simple Storage Service 사용 설명서의 ACL 버킷 권한을 설정하는 방법을 참조하세요.

(선택 사항) 카탈로그를 동적으로 사용

어떤 경우에는 계정 간 AWS Glue 카탈로그를 등록하는 사전 단계 없이 신속히 테스트를 수행해야 할 수 있습니다. 앞서 이 설명서에서 설명한 필수 IAM 및 Amazon S3 권한을 올바르게 구성했다면 DataCatalog 리소스를 생성하지 않고도 계정 간 쿼리를 동적으로 수행할 수 있습니다.

등록 없이 카탈로그를 명시적으로 참조하려면 다음 예제의 구문을 사용합니다.

SELECT * FROM "glue:arn:aws:glue:us-east-1:999999999999:catalog".tpch1000.customer

"glue:<arn>" 형식을 사용합니다. 여기서 <arn>은(는) 사용하고자 하는 AWS Glue Data Catalog ARN입니다. 이 예제에서 Athena는 이 구문을 사용하여 마치 DataCatalog 객체를 별도로 생성한 것처럼 999999999999 계정의 AWS Glue 데이터 카탈로그를 동적으로 가리키도록 할 수 있습니다.

동적 카탈로그 사용에 대한 참고 사항

동적 카탈로그를 사용할 때 다음 사항에 유의해야 합니다.

(선택 사항) API를 사용하여 소유자 계정에 속한 Athena 데이터 카탈로그 등록

2단계에서 설명한 대로 Athena 콘솔을 사용하는 대신 API 작업을 사용하여 소유자 계정에 속한 데이터 카탈로그를 등록할 수 있습니다.

Athena DataCatalog 리소스의 생성자는 Athena CreateDataCatalog API 작업을 실행하는 데 필요한 권한이 있어야 합니다. 요구 사항에 따라 추가 API 작업에 액세스해야 할 수도 있습니다. 자세한 내용은 데이터 카탈로그 예제 정책 단원을 참조하세요.

다음 CreateDataCatalog 요청 본문은 계정 간 액세스를 위한 AWS Glue 카탈로그를 등록합니다.

# Example CreateDataCatalog request to register a cross-account Glue catalog:
{
    "Description": "Cross-account Glue catalog",
    "Name": "ownerCatalog",
    "Parameters": {"catalog-id" : "999999999999"  # Owner's account ID
    },
    "Type": "GLUE"
}

다음 샘플 코드는 Java 클라이언트를 사용하여 DataCatalog 객체를 생성합니다.

# Sample code to create the DataCatalog through Java client
CreateDataCatalogRequest request = new CreateDataCatalogRequest()
    .withName("ownerCatalog")
    .withType(DataCatalogType.GLUE)
    .withParameters(ImmutableMap.of("catalog-id", "999999999999"));

athenaClient.createDataCatalog(request);

이 단계가 끝나면 ListDataCatalogs API 작업을 호출할 때 차용자에게 ownerCatalog가 표시되어야 합니다.

추가 리소스