分析者へCatalog表だけを許可する

認可では、誰が何をどのリソースへ行えるかを最小権限で定義し、タグ・行・列・アカウント境界を組み合わせる。

Lake FormationのTable SELECT権限を対象表へ付与する

Lake Formationはデータレイクの表・列・行権限を管理する。

S3バケットを分析者へフルアクセスさせる

S3フルアクセスは最小権限ではない。

Athenaのワークグループ名だけで認可する

認可はIAM/Lake Formationポリシーで評価される。

CloudTrailへSELECT権限を書く

CloudTrailは操作履歴を記録する。