ある製薬企業は患者の臨床試験データを Amazon S3 データレイクに保管し、AWS Glue Data Catalog でメタデータを管理しています。データアナリストは Athena でほとんどのカラムにアクセスでき

Question

ある製薬企業は患者の臨床試験データを Amazon S3 データレイクに保管し、AWS Glue Data Catalog でメタデータを管理しています。データアナリストは Athena でほとんどのカラムにアクセスできますが、患者氏名・生年月日・社会保障番号（SSN）などの個人識別情報（PII）カラムへのアクセスは規制上禁止されています。アナリスト IAM グループに対してこの制限を一元的かつ最小の運用負荷で適用するには？

Accepted Answer

正解: Lake Formation の列レベルアクセス制御でアナリストグループに PII カラムを除いた SELECT 権限を付与する。Lake Formation の列レベルアクセス制御（Column-level security）は Glue Data Catalog のテーブル定義に直接適用されるため、Athena・EMR・Glue など Lake Formation と統合されたすべてのサービスに対して一貫して強制されます。アナリストが直接テーブルをクエリしようとしても PII カラムは参照不可となり、ビューや ETL を迂回する手段がないため最も確実な制御方式です。

選択肢Bの Athena ビューによる制御は Athena 経由のクエリには有効ですが、アナリストが元テーブルへの権限を持つ場合にビューを経由せず直接テーブルを参照できるリスクがあります。
選択肢Cの Glue ETL サブセットテーブルは元データとサブセットの 2 重管理が発生し、ETL ジョブの維持と S3 ストレージコスト増加という運用負荷が生じます。
選択肢Dの Amazon Macie は PII の検出・分類サービスであり、S3 バケットポリシーでプレフィックスを Deny しても同一オブジェクト内の特定カラムだけを隠すカラムレベル制御はできません。

Answer

Athena でビューを作成して PII カラムを SELECT から除外し、アナリストにはビューへの権限のみ付与する — Athena ビューは Athena 経由のクエリには有効ですが、アナリストが元テーブルへの Glue/S3 アクセス権を持つ場合にビューを経由せず直接テーブルをクエリできるため、Lake Formation のような強制的なカラムレベル制御と比べて確実性に劣ります。

Answer

AWS Glue ETL ジョブで PII カラムを除いたサブセットテーブルを S3 に書き出し、アナリストにはそのテーブルのみ参照させる — ETL でサブセットテーブルを生成する方法は、ETL ジョブの維持コスト・追加の S3 ストレージ・元テーブルとの同期管理など運用負荷が高く、Lake Formation の列レベル制御に比べて適切ではありません。

Answer

Amazon Macie で PII カラムを検出し、S3 バケットポリシーで対象プレフィックスへのアクセスを Deny する — Amazon Macie は S3 内の PII データを検出・分類するサービスです。S3 バケットポリシーはオブジェクト単位での制御のみで、1 つのオブジェクト（Parquet ファイルなど）内の特定カラムだけを隠すカラムレベル制御には対応できません。

解説

解説