無限ノック › DEA 練習問題一覧 › 問題DEA データのセキュリティとガバナンス
ある医療機関のデータチームは、AWS Lake Formationを使ってS3データレイクを管理しています。患者テーブルには以下のカラムが含まれています。
・patient_id、name、birth_date、diagnosis、treatment_cost
研究チームは診断・治療コストの集計分析が必要ですが、氏名・生年月日などのPII（個人識別情報）にはアクセスすべきでありません。請求チームはすべてのカラムにアクセスできる必要があります。Lake Formationでこのアクセス制御を実装する最も適切な方法はどれですか？
A S3バケットポリシーで研究チームのIAMロールに対して特定のS3プレフィックスのみへのアクセスを許可する
S3バケットポリシーはS3オブジェクト（ファイル）レベルの制御であり、列単位でのアクセス制御はできません。
B Lake Formationのデータフィルタリング機能を使用して、研究チームのIAMロールにdiagnosisとtreatment_costカラムのみを許可するカラムレベルセキュリティを設定する
✓ 正解
AWS Lake Formationはカラムレベルセキュリティ（CLS）をネイティブにサポートしており、テーブルの特定カラムへのアクセスをIAMプリンシパル単位で制御できます。データフィルタリング機能を使うことでPIIカラムを除いた権限付与が一元的かつ宣言的に管理でき、AthenaやRedshift Spectrumなどの対応クエリエンジンにも適用されます。
C AWS Glue ETLジョブで研究チーム向けにPIIカラムを除いた別のParquetファイルを事前に生成し、そのS3パスへのアクセスを許可する
Glue ETLで別のParquetファイルを生成する方法は、データの二重管理が発生し鮮度の同期が必要になります。Lake Formationのポリシーベースのアプローチより管理コストが高くなります。
D Amazon Athenaでビューを作成してPIIカラムを除外し、ビューへのクエリのみを研究チームに許可するIAMポリシーを設定する
AthenaビューはSQLレベルの列制御に使えますが、S3の生データへのアクセスは別途制御が必要であり、Lake Formationのカラムレベルセキュリティほど一元管理できません。
解説 AWS Lake Formationはカラムレベルセキュリティ（CLS）をネイティブにサポートしており、テーブルの特定カラムへのアクセスをIAMプリンシパル単位で制御できます。データフィルタリング機能を使うことでPIIカラムを除いた権限付与が一元的かつ宣言的に管理でき、AthenaやRedshift Spectrumなどの対応クエリエンジンにも適用されます。
選択肢AのS3バケットポリシーはS3オブジェクト（ファイル）レベルの制御であり、列単位でのアクセス制御はできません。
選択肢CのGlue ETLで別のParquetファイルを生成する方法は、データの二重管理が発生し鮮度の同期が必要になります。Lake Formationのポリシーベースのアプローチより管理コストが高くなります。
選択肢DのAthenaビューはSQLレベルの列制御に使えますが、S3の生データへのアクセスは別途制御が必要であり、Lake Formationのカラムレベルセキュリティほど一元管理できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →