3.5標準
S3のデータレイクをAthenaで分析し、部署ごとに参照できる列が異なる。
バケットを個別に分けず、データカタログ単位でアクセスを制御し、公開設定も防ぎたい。
最も適切な設計はどれか。
× 不正解
Glue Data CatalogとLake Formationの権限管理で、S3データレイクを公開せずにテーブル・列単位のアクセスを制御する。
詳細解説
誤りCloudFrontのキャッシュポリシーでAthenaの列権限を設定する
CloudFrontは配信キャッシュの制御であり、データカタログの認可やAthenaの列権限を管理しない。
誤り分析者へAdministratorAccessを付与し、S3バケットを公開する
広範な権限と公開設定は最小権限・データ保護に反する。
誤り各部署が同じバケットを直接ListBucketし、アプリケーションで列を隠す
S3一覧とアプリケーションだけの制御では、利用者が直接データへ到達する経路を十分に制限できない。
正しいGlue Data Catalogへ登録し、Lake Formationの権限でデータベース・テーブル・列へのアクセスを管理する
Lake FormationはCatalogのデータ資産に対する細粒度の権限を一元管理でき、S3を公開せずにAthenaから利用させられる。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
AWS Lake Formation data permissions and Glue Data Catalogの公式説明を確認する。
確認できる内容
データレイクの保存場所、メタデータ、分析クエリの認可を分離して設計できる。
理解のポイント
- AWS Lake Formation
- Glue Data Catalog
- 列レベル権限
確認時の注意
- 確認環境:
- AWS公式SAA-C03ガイドと各サービスの公式ドキュメントで現行仕様を確認する。
基礎のおさらい
データレイクの境界
S3の保存場所、Catalogのメタデータ、Lake Formationの認可を分けて設計する。
公開と共有の違い
分析者へ共有しても、S3バケットを匿名公開する必要はない。
問題IDAWS-SAA-141
確認環境Ubuntu 24.04 / GNU tools
最終技術確認2026-08-31
誤り・権利侵害を報告