解説

AWS Lake Formation はGlueデータカタログと統合した列レベル・行レベルのきめ細かなアクセス制御を提供します。IAMロール単位で列ごとのSELECT権限を設定でき、データのコピーや重複管理が不要で最小権限の原則を効率的に実現できます。 選択肢Bの Glue ETLジョブでPII列を除外したデータを別のS3バケットに出力する方法は、元データとの同期・重複管理コストが高く、スキーマ変更時の追従も都度必要になります。 選択肢CのS3バケットポリシーでIPレンジからのアクセスを特定プレフィックスに制限する方法は、列単位の細かい制御ができず、IPアドレスベースの制限はVPN等の環境変化にも脆弱です。 選択肢DのAmazon Macieを使用してPII列を自動検出する方法は、S3上のPIIデータ検出・通知を目的としたツールであり、アクセス制御の仕組みを持っていません。