DEAデータのセキュリティとガバナンス
ある大企業のデータプラットフォームチームは、AWS Glue Data Catalogで500以上のデータベースと3,000以上のテーブルを管理しています。
データは「機密性（sensitivity: public / confidential / restricted）」と「部門（department: finance / marketing / hr）」によって分類されています。
現在は各チームへのアクセス許可をリソースベースで個別に設定しており、テーブルが増えるたびに手動更新が必要で管理が煩雑になっています。
運用コストを最小限に抑えながら、このデータ分類に基づくきめ細かいアクセス制御を一元管理するための最適な方法はどれですか？
AIAMポリシーに glue:GetTable アクションに対するリソースタグ条件を記述し、各IAMロールに付与する
IAMポリシーのリソースタグ条件は、Glue Data CatalogのアクセスはLake Formationが管理権限を持つため、単独では細粒度のテーブルレベル制御が困難です。
BAWS Lake FormationのLFタグ（LF-TBAC）を使用して、データ分類に対応するタグをGlue Catalogリソースに付与し、IAMプリンシパルにLFタグベースのアクセス許可を割り当てる
✓ 正解
LF-TBACはLFタグをGlue Catalogのデータベース・テーブル・カラムに付与し、タグの組み合わせ単位でIAMプリンシパルへの許可を一括定義できる仕組みです。テーブルが増えても個別設定が不要で、管理コストを大幅に削減できます。
CAWS Glue Data Catalogのリソースポリシーに全テーブルを列挙したAllow/Denyルールを記述する
Glue Data Catalogリソースポリシーへの全テーブル列挙はスケールせず、テーブル追加のたびに手動更新が必要で管理コストが増大します。
DAmazon MacieのPII検出結果をもとに、S3バケットポリシーを自動更新するAWS Lambda関数を作成する
Amazon MacieはS3上のPII検出ツールであり、Glue Catalogのアクセス制御ポリシーを自動生成・管理する機能はありません。
解説
LF-TBACはLFタグをGlue Catalogのデータベース・テーブル・カラムに付与し、タグの組み合わせ単位でIAMプリンシパルへの許可を一括定義できる仕組みです。テーブルが増えても個別設定が不要で、管理コストを大幅に削減できます。
選択肢AのIAMポリシーのリソースタグ条件は、Glue Data CatalogのアクセスはLake Formationが管理権限を持つため、単独では細粒度のテーブルレベル制御が困難です。
選択肢CのGlue Data Catalogリソースポリシーへの全テーブル列挙はスケールせず、テーブル追加のたびに手動更新が必要で管理コストが増大します。
選択肢DのAmazon MacieはS3上のPII検出ツールであり、Glue Catalogのアクセス制御ポリシーを自動生成・管理する機能はありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →