DEAデータのセキュリティとガバナンス
ある大企業のデータプラットフォームチームは、AWS Glue Data Catalogに600以上のテーブルを管理しており、毎月新しいテーブルが追加されています。
以下のアクセス制御要件があります：
- データサイエンティストは「sensitivity=public」または「sensitivity=internal」が付いたすべてのテーブルにアクセスできる
- データアナリストは「domain=finance」が付いたテーブルのみアクセスできる
- 新しいテーブルが追加された際、適切なタグが付与されれば自動的に上記の権限が適用される
テーブル数が増加しても管理オーバーヘッドを最小化する方法として、最も適切なのはどれですか？
AAWS Lake Formationで各テーブルに対してデータサイエンティストとデータアナリストのIAMロールへ個別にGRANT権限を設定する
各テーブルに対してデータサイエンティストとデータアナリストのIAMロールへ個別にGRANT権限を設定する方式は、600以上のテーブルへの適用が困難で、新テーブル追加のたびに手動設定が必要です。
BAWS Lake FormationのLFタグ（LF-TBAC：タグベースのアクセス制御）を使用し、リソースにタグを付与してIAMプリンシパルへタグベースの権限を付与する
✓ 正解
LF-TBAC（Lake Formation Tag-Based Access Control）は属性ベースのアクセス制御で、タグをデータベース・テーブル・列に付与し、IAMプリンシパルにタグの組み合わせで権限を付与します。新しいテーブルにタグを付けるだけで既存の権限ポリシーが自動適用されるため、大規模なカタログでの管理負荷を大幅に削減できます。
CすべてのテーブルのS3保存先バケットにバケットポリシーを設定し、プレフィックスによるアクセス制御を実装する
S3バケットポリシーでアクセス制御を設定する方式は、Glue Data Catalogレベルのきめ細かなアクセス制御には対応しておらず、Lake Formationとの統合も意図されていません。
DAWS Glue Data Catalogのリソースポリシーで各データベース単位にアクセス制御を設定する
AWS Glue Data Catalogのリソースポリシーでデータベース単位にアクセス制御を設定する方式は、タグベースの動的権限適用はサポートしていません。
解説
LF-TBAC（Lake Formation Tag-Based Access Control）は属性ベースのアクセス制御で、タグをデータベース・テーブル・列に付与し、IAMプリンシパルにタグの組み合わせで権限を付与します。新しいテーブルにタグを付けるだけで既存の権限ポリシーが自動適用されるため、大規模なカタログでの管理負荷を大幅に削減できます。
選択肢Aの各テーブルに対してデータサイエンティストとデータアナリストのIAMロールへ個別にGRANT権限を設定する方式は、600以上のテーブルへの適用が困難で、新テーブル追加のたびに手動設定が必要です。
選択肢CのS3バケットポリシーでアクセス制御を設定する方式は、Glue Data Catalogレベルのきめ細かなアクセス制御には対応しておらず、Lake Formationとの統合も意図されていません。
選択肢DのAWS Glue Data Catalogのリソースポリシーでデータベース単位にアクセス制御を設定する方式は、タグベースの動的権限適用はサポートしていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →