MLA機械学習のためのデータ準備
ある企業がAmazon S3上のデータレイクでML用の特徴量エンジニアリングを行っています。コンプライアンス要件により、データサイエンスチームは購買履歴列にはアクセスできますが、PII（Personally Identifiable Information：氏名・住所・電話番号など個人を特定できる情報）を含む列にはアクセスできないようにする必要があります。既存のS3バケットポリシーとIAMロールへの変更は最小限に抑えたい場合、最も適切なアプローチはどれですか？
AS3のプレフィックス単位でアクセス制御を行い、PII列を含むファイルを別プレフィックスに物理的に移動する
S3のプレフィックス単位でのアクセス制御では、PII列を含むファイルを別プレフィックスへ物理的に移動する必要があります。列単位の細かいアクセス制御ができず、データ移動の工数も発生するため最小限の変更という要件を満たせません。
BAWS Lake Formationの列レベルセキュリティ機能を使用して、Glueデータカタログ上で列単位のアクセス許可を設定する
✓ 正解
AWS Lake FormationはGlueデータカタログと連携し、列単位のきめ細かいアクセス制御を既存のS3バケットポリシーやIAMロールを大幅変更せずに実現できます。PII列への不正アクセスを遮断しながら購買履歴列へのアクセスを許可できます。
CAmazon Macie（S3内のPIIを自動検出・分類するデータセキュリティサービス）でPII列を検出し、該当オブジェクトにS3オブジェクト暗号化を適用する
Amazon MacieはS3内のPIIを自動検出・分類するサービスですが、オブジェクト暗号化はデータ保護であり列単位のアクセス制御機能ではありません。特定の列への読み取りアクセスを許可・拒否する機能を提供しておらず要件を満たせません。
DAWS Glueジョブ内にPII列をマスキングする変換処理を追加し、マスキング済みデータセットのみをチームに提供する
GlueジョブでのPII列マスキング処理は要件を実現できますが、スクリプトの開発・テスト・保守とマスキング済みデータセットの管理が必要です。既存設定の変更を最小限に抑えたい要件に対して運用負荷が大幅に増加します。
解説
AWS Lake FormationはGlueデータカタログと連携し、データベース・テーブル・列単位のきめ細かいアクセス制御を既存のS3バケットポリシーやIAMロールを大幅に変更せずに実現できます。列レベルの権限設定により、データサイエンスチームは購買履歴列にのみアクセスし、PII列へのアクセスを遮断できます。
選択肢AのS3プレフィックス単位でのアクセス制御は、PII列を含むファイルを別プレフィックスへ物理的に移動する必要があります。列単位の細かいアクセス制御ができないうえ、データ移動の工数も発生し、既存設定の変更を最小限にしたい要件を満たせません。
選択肢CのAmazon Macieは、S3内のPIIを自動検出・分類するサービスですが、オブジェクト暗号化はデータ保護であり列単位のアクセス制御ではありません。特定の列への読み取りアクセスを許可・拒否する機能は提供していません。
選択肢DのGlueジョブ内でのマスキング処理は要件を実現できますが、スクリプトの開発・テスト・保守とマスキング済みデータセットの管理が必要です。既存設定の変更を最小限に抑えたい要件に対して運用負荷が大幅に増加します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでMLAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →