タグでデータ権限を一括管理する

認可では、誰が何をどのリソースへ行えるかを最小権限で定義し、タグ・行・列・アカウント境界を組み合わせる。

Lake Formation LF-Tagsを表・列へ付与し、LF-Tag permissionsを使う

LF-Tagsはデータ分類に基づく認可を提供する。

すべての表ARNをIAMポリシーへ手書きする

個別列挙は大規模運用で保守負荷が高い。

S3プレフィックス名だけを権限とする

名前だけの規則は分類タグより脆弱である。

CloudTrailのタグイベントを許可条件にする

CloudTrailはAPI操作履歴である。