DEAデータのセキュリティとガバナンス
ある金融企業が顧客の取引データを Amazon S3 データレイクに保存し、AWS Glue Data Catalog でメタデータを管理しています。テーブルには customer_id・name・account_number・transaction_amount・ssn の列が含まれています。データエンジニアリングチームは全列へのアクセスが必要ですが、分析チームは customer_id と transaction_amount 列のみを参照できるようにしなければなりません。最小権限の原則に従い、最も運用効率の高い方法はどれですか？
AAWS Lake Formation の列レベル許可を使用し、分析チームの IAM ロールに対して customer_id と transaction_amount 列のみ SELECT を許可する
✓ 正解
Lake Formationの列レベル許可はGlue Data Catalogに登録されたテーブルに対してIAMロールごとに参照可能な列を制限でき、データの物理複製なしにポリシー設定のみで最小権限を実現できます。AthenaやEMRからのクエリにも自動適用されます。
BAmazon S3 バケットポリシーで分析チームの IAM ロールに対してオブジェクトレベルのアクセス制限を設定する
S3バケットポリシーはオブジェクト（ファイル）単位のアクセス制御のみを提供します。ParquetなどのカラムナーフォーマットでS3に保存された同一ファイル内で特定列だけへのアクセスを制限することはできません。列制御にはLake Formationが必要です。
CAWS Glue ETL ジョブで PII 列を除外した別テーブルを別 S3 プレフィックスに作成し、分析チームにはそのプレフィックスへのアクセスのみを許可する
PII列を除外したコピーを別プレフィックスに物理保存するためストレージコストが増加します。毎日のETL処理追加・二重管理・データ鮮度の同期など運用負荷も高く、Lake Formationのアクセス制御に比べて大幅に非効率です。
DAmazon Macie を設定して PII 列を自動検出し、検出時に分析チームの IAM ロールを自動的にアクセス拒否リストに追加する
MacieはS3内のPIIを機械学習で自動検出・分類するサービスですが、検出結果に基づいてIAMポリシーを自動変更したりアクセス制御を動的に適用したりする機能はありません。アクセス制御の実施にはLake Formationを使用する必要があります。
解説
AWS Lake Formation は Glue Data Catalog に登録されたテーブルに対して、データベース・テーブル・列レベルの細粒度アクセス制御を提供します。列レベル許可（Column-level permissions）を設定することで、同一テーブルに対して IAM ロールごとに参照可能な列を制限できます。データを物理的に複製することなくポリシー設定のみで異なるアクセス権を実現できるため、ストレージコストと整合性リスクを最小化できます。Athena や EMR など Lake Formation と統合されたサービスからのクエリ時に自動的に列フィルタが適用されます。
選択肢BのS3バケットポリシーはオブジェクト（ファイル）レベルのアクセス制御のみ可能であり、同一 Parquet ファイル内の特定列への制限はできません。
選択肢CのGlue ETL による別テーブル作成はデータを物理的に複製するため、ストレージコストの増加・ETL処理の追加・データ鮮度の管理など運用負荷が高く非効率です。
選択肢DのAmazon Macieはデータの検出・分類・モニタリングツールであり、アクセス制御の自動適用機能は持っていません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →