DEAデータストアの管理
ある企業は中央データレイクアカウント（アカウント A）の AWS Lake Formation で管理している売上・在庫テーブルを、5つの事業部アカウント（アカウント B〜F）のデータアナリストに読み取り専用で共有したい。データのコピーは作成せず、各アナリストは自アカウントの Amazon Athena でクエリを実行できるようにする必要があります。最も少ない運用負荷でこれを実現する方法はどれですか？
Aアカウント A の S3 バケットポリシーに各事業部アカウントの IAM ロールを追加し、アカウント B〜F それぞれで Glue クローラーを定期実行してローカルの Glue Data Catalog にスキーマとパーティション情報を同期する
S3 バケットポリシーによるクロスアカウントアクセスは S3 データへの読み取りは許可できるが、Lake Formation の列・行レベルアクセス制御が失われる。さらに各アカウントで Glue クローラーを定期運用する必要があり、運用負荷が高い。
Bアカウント A の Lake Formation でクロスアカウントグラントを設定してアクセスを委任し、各消費者アカウントでリソースリンクを作成して自アカウントの Athena からクエリする
✓ 正解
Lake Formation のクロスアカウントグラントはデータをコピーせずにテーブル単位の細粒度アクセス制御を別アカウントへ委任できる。消費者アカウントのリソースリンクを介して Athena から透過的にクエリでき、列・行レベル制御も維持される。
CAWS RAM でアカウント A の S3 バケットを共有し、各消費者アカウントで Athena データソースと IAM ポリシーを個別に設定する
AWS Resource Access Manager は VPC や Transit Gateway などのリソース共有に使用するサービスで、S3 バケットを直接共有したり Lake Formation のアクセス制御ポリシーを提供したりする機能を持たない。
Dアカウント A の Glue Data Catalog をクロスアカウント公開にし、アカウント B〜F の Athena からアカウント A のカタログを直接参照するよう設定する
Glue Data Catalog のクロスアカウント公開設定のみでは Lake Formation の細粒度アクセス制御（列・行レベルフィルター、タグベース制御）が消費者側で適用されず、テーブルレベルを超えたデータガバナンスが維持できない。
解説
Lake Formation のクロスアカウントグラントは、データをコピーせずにテーブル単位の細粒度アクセス制御を別アカウントへ委任できる機能。プロデューサーアカウントでテーブルアクセスをグラントし、消費者アカウントでリソースリンク（Resource Link）を作成することで、自アカウントの Athena から透過的にクエリできる。Lake Formation の列・行レベルフィルターやタグベース制御もそのまま維持される。
選択肢Aの S3 バケットポリシーによるクロスアカウントアクセスは Lake Formation の細粒度制御が失われ、各アカウントで Glue クローラーを運用する必要があり運用負荷が高い。
選択肢Cの AWS Resource Access Manager は S3 バケットを直接共有リソースとして登録できず、Lake Formation のメタデータアクセス制御を提供しないため、Athena クエリには別途カタログ設定が必要になる。
選択肢Dの Glue Data Catalog クロスアカウント公開のみでは Lake Formation の細粒度アクセス制御が消費者側で適用されず、データガバナンスを適切に維持できない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →