DEAデータのセキュリティとガバナンス
ある企業はデータレイクを AWS Lake Formation で管理しています。分析チームには customers テーブルへのアクセスを許可しますが、email と phone のカラムは閲覧させず、それ以外のカラムのみ参照可能にする必要があります。多数のテーブルに対し同様のポリシーを効率的に適用・管理したいです。最も適切な方法はどれですか。
AS3 バケットポリシーで分析チームのロールに対し email・phone を含むオブジェクトへのアクセスを拒否する
S3 バケットポリシーはオブジェクトやプレフィックス単位のアクセス制御であり、テーブル内の特定カラム（email・phone）だけを除外する列レベル制御はできない。要件を満たさない。
BLake Formation のデータフィルターで列レベルのアクセス制御を定義し、LF-Tag を用いて複数テーブルに付与する
✓ 正解
Lake Formation のデータフィルターは列レベルのアクセス制御を定義でき、LF-Tag でタグ付けすれば多数のテーブルへ一括適用できる。きめ細かな制御と効率的な管理を両立し最適。
C対象テーブルから email・phone を除外したビューを Athena で作成し、分析チームにはビューのみ許可する
Athena でカラム除外ビューを作る方法は実現可能だが、テーブルごとにビューを作成・維持する必要があり、多数のテーブルでは管理負荷が高くスケールしない。
DGlue Data Catalog のテーブル定義から email・phone カラムを物理的に削除する
カラムを物理的に削除するとデータ自体が失われ、他の正当な分析や用途で email・phone が必要な場合に対応できない。破壊的でアクセス制御の手段として不適切。
解説
Lake Formation のデータフィルター（Data Filter）は、列レベル（カラムの包含・除外）および行レベルのアクセス制御を定義でき、特定カラムのみを許可/除外するきめ細かなアクセス制御を実現する。
さらに LF-Tag（タグベースアクセス制御）を併用すると、タグを多数のテーブルに付与してポリシーを一括適用でき、テーブルごとの個別設定が不要となり、大規模環境での管理が効率化される。
選択肢Aの S3 バケットポリシーは、オブジェクト単位の制御でありカラム単位のアクセス制御はできない。
選択肢Cの Athena ビューは、テーブルごとにビューを作成・維持する必要があり、多数のテーブルでは管理負荷が高くスケールしない。
選択肢Dのカラム物理削除は、他の正当な用途でデータが必要な場合に対応できず、破壊的で不適切。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →