AWS Glue の仕組み IAM
IAM を使用して AWS Glue へのアクセスを管理する前に、 AWS Glue で使用できるIAM機能について説明します。
IAM 機能 | AWS Glue サポート |
---|---|
あり |
|
部分的 |
|
あり |
|
はい |
|
はい |
|
なし |
|
部分的 |
|
あり |
|
いいえ |
|
あり |
|
なし |
AWS Glue やその他の AWS サービスがほとんどのIAM機能でどのように機能するかの概要については、 IAM ユーザーガイドのAWS 「 で と連携する のサービスIAM」を参照してください。
AWS Glue のアイデンティティベースのポリシー
アイデンティティベースのポリシーのサポート: あり
ID ベースのポリシーは、IAMユーザー、ユーザーのグループ、ロールなどの ID にアタッチできるJSONアクセス許可ポリシードキュメントです。これらのポリシーは、ユーザーとロールが実行できるアクション、リソース、および条件をコントロールします。ID ベースのポリシーを作成する方法については、IAM「 ユーザーガイド」の「カスタマーマネージドポリシーを使用したカスタムIAMアクセス許可の定義」を参照してください。
IAM ID ベースのポリシーでは、許可または拒否されたアクションとリソース、およびアクションが許可または拒否される条件を指定できます。プリンシパルは、それが添付されているユーザーまたはロールに適用されるため、アイデンティティベースのポリシーでは指定できません。JSON ポリシーで使用できるすべての要素については、 IAM ユーザーガイドのIAMJSON「ポリシー要素リファレンス」を参照してください。
AWS Glue は、すべての の ID ベースのポリシー (IAM ポリシー) をサポートします。AWS Glue オペレーション。ポリシーをアタッチすることで、AWS Glue のテーブルなどの リソース AWS Glue Data Catalog.
AWS Glue のアイデンティティベースのポリシーの例
AWS Glue アイデンティティベースのポリシーの例を表示するには、「」を参照してくださいAWS Glue のアイデンティティベースのポリシーの例。
AWS Glue 内のリソースベースのポリシー
リソースベースのポリシーのサポート: 一部
リソースベースのポリシーは、リソースにアタッチするJSONポリシードキュメントです。リソースベースのポリシーの例としては、IAMロール信頼ポリシーと Amazon S3 バケットポリシー があります。リソースベースのポリシーをサポートするサービスでは、サービス管理者はポリシーを使用して特定のリソースへのアクセスをコントロールできます。ポリシーがアタッチされているリソースの場合、指定されたプリンシパルがそのリソースに対して実行できるアクションと条件は、ポリシーによって定義されます。リソースベースのポリシーでは、プリンシパルを指定する必要があります。プリンシパルには、アカウント、ユーザー、ロール、フェデレーティッドユーザー、 を含めることができます AWS のサービス。
クロスアカウントアクセスを有効にするには、リソースベースのポリシーのプリンシパルとして、別のアカウントのアカウントまたはIAMエンティティ全体を指定できます。リソースベースのポリシーにクロスアカウントのプリンシパルを追加しても、信頼関係は半分しか確立されない点に注意してください。プリンシパルとリソースが異なる にある場合 AWS アカウント、信頼されたアカウントのIAM管理者は、プリンシパルエンティティ (ユーザーまたはロール) にリソースへのアクセス許可も付与する必要があります。IAM 管理者は、アイデンティティベースのポリシーをエンティティにアタッチすることで権限を付与します。ただし、リソースベースのポリシーで、同じアカウントのプリンシパルへのアクセス権が付与されている場合は、アイデンティティベースのポリシーをさらに付与する必要はありません。詳細については、「 ユーザーガイド」の「 のクロスアカウントリソースアクセスIAM」を参照してください。 IAM
注記
を使用できるのは、AWS Glue Data Catalog リソースのアクセス許可を管理するリソースポリシー。他の にアタッチすることはできません AWS Glue ジョブ、トリガー、開発エンドポイント、クローラー、分類子などの リソース。
リソースポリシーは 1 カタログにつき 1 つのみ許可されます。サイズの上限は 10 KB です。
AWS Glue では、リソースポリシーがカタログ にアタッチされます。カタログ は、前述のあらゆる種類の Data Catalog リソースの仮想コンテナです。各 AWS アカウントは、カタログ ID が AWS アカウント ID と同じ AWS リージョンで 1 つのカタログを所有しています。カタログを削除したり変更したりすることはできません。
リソースポリシーは、呼び出し元プリンシパルがポリシードキュメントの "Principal"
ブロックに含まれているカタログへのすべてのAPI呼び出しについて評価されます。
AWS Glue リソースベースのポリシーの例を表示するには、「」を参照してくださいAWS Glue のリソースベースのポリシーの例。
AWS Glue のポリシーアクション
ポリシーアクションのサポート: あり
管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
JSON ポリシーの Action
要素は、ポリシー内のアクセスを許可または拒否するために使用できるアクションについて説明します。ポリシーアクションは通常、関連付けられた AWS APIオペレーションと同じ名前を持ちます。一致するAPIオペレーションを持たないアクセス許可のみのアクションなど、いくつかの例外があります。また、ポリシーに複数のアクションが必要なオペレーションもあります。これらの追加アクションは、依存アクションと呼ばれます。
このアクションは、関連付けられたオペレーションを実行するための権限を付与するポリシーで使用されます。
AWS Glue アクションのリストを確認するには、「サービス認可リファレンス」のAWS 「Glue で定義されるアクション」を参照してください。
AWS Glue のポリシーアクションでは、アクションの前に次のプレフィックスを使用します。
glue
単一のステートメントで複数のアクションを指定するには、アクションをカンマで区切ります。
"Action": [ "glue:
action1
", "glue:action2
" ]
ワイルドカード (*) を使用して複数アクションを指定できます。例えば、Get
という単語で始まるすべてのアクションを指定するには、次のアクションを含めます。
"Action": "glue:Get*"
ポリシーの例を表示するには、「AWS Glue のアクセスコントロールポリシーの例」を参照してください。
AWS Glue のポリシーリソース
ポリシーリソースのサポート: あり
管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルがどのリソースに対してどのような条件下でアクションを実行できるかということです。
Resource
JSON ポリシー要素は、アクションが適用されるオブジェクトを指定します。ステートメントには、Resource
または NotResource
要素を含める必要があります。ベストプラクティスとして、Amazon リソースネーム (ARN) を使用してリソースを指定します。これは、リソースレベルの許可と呼ばれる特定のリソースタイプをサポートするアクションに対して実行できます。
オペレーションのリスト化など、リソースレベルの権限をサポートしないアクションの場合は、ステートメントがすべてのリソースに適用されることを示すために、ワイルドカード (*) を使用します。
"Resource": "*"
を使用して AWS Glue リソースへのアクセスを制御する方法の詳細についてはARNs、「」を参照してくださいAWS Glue リソース ARN の指定。
AWS Glue リソースタイプとその のリストを確認するにはARNs、「 サービス認可リファレンス」のAWS 「Glue で定義されるリソース」を参照してください。各リソースARNの を指定するために使用できるアクションについては、AWS 「Glue で定義されるアクション」を参照してください。
AWS Glue のポリシー条件キー
サービス固有のポリシー条件キーのサポート: あり
管理者はポリシーを使用して AWS JSON、誰が何にアクセスできるかを指定できます。つまり、どのプリンシパルが、どのリソースに対してどのような条件下でアクションを実行できるかということです。
Condition
要素 (または Condition
ブロック) を使用すると、ステートメントが有効な条件を指定できます。Condition
要素はオプションです。イコールや未満などの条件演算子を使用して条件式を作成することで、ポリシーの条件とリクエスト内の値を一致させることができます。
1 つのステートメントに複数の Condition
要素を指定する場合、または 1 つの Condition
要素に複数のキーを指定する場合、 AWS では AND
論理演算子を使用してそれらを評価します。1 つの条件キーに複数の値を指定すると、 は論理OR
オペレーションを使用して条件 AWS を評価します。ステートメントの権限が付与される前にすべての条件が満たされる必要があります。
条件を指定する際にプレースホルダー変数も使用できます。例えば、リソースにIAMユーザー名がタグ付けされている場合にのみ、リソースにアクセスするアクセス許可をIAMユーザーに付与できます。詳細については、「 ユーザーガイド」のIAM「ポリシー要素: 変数とタグ」を参照してください。 IAM
AWS は、グローバル条件キーとサービス固有の条件キーをサポートしています。すべての AWS グローバル条件キーを表示するには、 ユーザーガイドのAWS 「グローバル条件コンテキストキー」を参照してください。 IAM
AWS Glue 条件キーのリストを確認するには、「サービス認可リファレンス」のAWS 「Glue の条件キー」を参照してください。条件キーを使用できるアクションとリソースについては、AWS 「Glue で定義されるアクション」を参照してください。
ポリシーの例を表示するには、「条件キーまたはコンテキストキーを使用して設定を制御する」を参照してください。
ACLs AWS Glue で
サポートACLs: なし
アクセスコントロールリスト (ACLs) は、どのプリンシパル (アカウントメンバー、ユーザー、またはロール) がリソースにアクセスするアクセス許可を持っているかを制御します。ACLs はリソースベースのポリシーに似ていますが、JSONポリシードキュメント形式は使用していません。
ABAC AWS Glue を使用
サポート ABAC (ポリシーのタグ): 部分的
属性ベースのアクセスコントロール (ABAC) は、属性に基づいてアクセス許可を定義する認可戦略です。では AWS、これらの属性はタグ と呼ばれます。タグは、IAMエンティティ (ユーザーまたはロール) および多くの AWS リソースにアタッチできます。エンティティとリソースのタグ付けは、 の最初のステップですABAC。次に、プリンシパルのタグがアクセスしようとしているリソースのタグと一致する場合に、オペレーションを許可するABACポリシーを設計します。
ABAC は、急速に成長している環境や、ポリシー管理が煩雑になる状況で役立ちます。
タグに基づいてアクセスを管理するには、aws:ResourceTag/
、key-name
aws:RequestTag/
、または key-name
aws:TagKeys
の条件キーを使用して、ポリシーの 条件要素でタグ情報を提供します。
サービスがすべてのリソースタイプに対して 3 つの条件キーすべてをサポートする場合、そのサービスの値はありです。サービスが一部のリソースタイプに対してのみ 3 つの条件キーのすべてをサポートする場合、値は「部分的」になります。
の詳細についてはABAC、「 ユーザーガイド」のABAC「認可によるアクセス許可の定義」を参照してください。 IAM のセットアップ手順を含むチュートリアルを表示するにはABAC、 IAM ユーザーガイドの「属性ベースのアクセスコントロールを使用する (ABAC)」を参照してください。
重要
条件コンテキストキーは、 にのみ適用されます。AWS Glue API クローラー、ジョブ、トリガー、開発エンドポイントに対する アクション。影響を受けるAPIオペレーションの詳細については、AWS Glue の条件キーを参照してください。
- AWS Glue データカタログAPIオペレーションは現在、 aws:referer
および aws:UserAgent
グローバル条件コンテキストキーをサポートしていません。
リソースのタグに基づいてリソースへのアクセスを制限するためのアイデンティティベースポリシーの例を表示するには、「タグを使用してアクセスを許可する」を参照してください。
AWS Glue での一時的な認証情報の使用
一時的な認証情報のサポート: あり
一部の AWS のサービス は、一時的な認証情報を使用してサインインすると機能しません。一時的な認証情報 AWS のサービス を使用する方法などの詳細については、 IAM ユーザーガイドの AWS のサービス で を使用するIAM方法を参照してください。
ユーザー名とパスワード以外の AWS Management Console 方法で にサインインする場合は、一時的な認証情報を使用します。例えば、会社のシングルサインオン (SSO) リンク AWS を使用して にアクセスすると、そのプロセスによって一時的な認証情報が自動的に作成されます。また、ユーザーとしてコンソールにサインインしてからロールを切り替える場合も、一時的な認証情報が自動的に作成されます。ロールの切り替えの詳細については、IAM「 ユーザーガイド」の「ユーザーからIAMロールへの切り替え (コンソール)」を参照してください。
AWS CLI または を使用して、一時的な認証情報を手動で作成できます AWS API。その後、これらの一時的な認証情報を使用して にアクセスできます AWS。長期的なアクセスキーを使用する代わりに、一時的な認証情報を動的に生成 AWS することをお勧めします。詳細については、「」の「一時的なセキュリティ認証情報IAM」を参照してください。
AWS Glue のクロスサービスプリンシパルアクセス許可
転送アクセスセッションをサポート (FAS): いいえ
ユーザーIAMまたはロールを使用して でアクションを実行する場合 AWS、プリンシパルと見なされます。一部のサービスを使用する際に、アクションを実行することで、別のサービスの別のアクションがトリガーされることがあります。FAS は、 を呼び出すプリンシパルのアクセス許可を AWS のサービス、ダウンストリームサービス AWS のサービス へのリクエストリクエストと組み合わせて使用します。FAS リクエストは、サービスが他の AWS のサービス または リソースとのやり取りを完了する必要があるリクエストを受け取った場合にのみ行われます。この場合、両方のアクションを実行するための権限が必要です。FAS リクエストを行う際のポリシーの詳細については、「アクセスセッションの転送」を参照してください。
AWS Glue のサービスロール
サービスロールのサポート: あり
サービスロールは、ユーザーに代わってアクションを実行するためにサービスが引き受けるIAMロールです。IAM 管理者は、 内からサービスロールを作成、変更、削除できますIAM。詳細については、「 ユーザーガイド」の「アクセス許可を に委任するロールを作成する AWS のサービス」を参照してください。 IAM
警告
サービスロールのアクセス許可を変更すると、 AWS Glue 機能が壊れる可能性があります。サービスロールは、 AWS Glue がガイダンスを提供する場合にのみ編集します。
AWS Glue のサービスロールの作成方法の詳細については、ステップ 1: AWS Glue サービスの IAM ポリシーを作成する「」および「」を参照してくださいステップ 2: AWS Glue 用の IAM ロールを作成する。
AWS Glue のサービスにリンクされたロール
サービスにリンクされたロールのサポート: なし
サービスにリンクされたロールは、 にリンクされたサービスロールの一種です AWS のサービス。サービスは、ユーザーに代わってアクションを実行するロールを引き受けることができます。サービスにリンクされたロールは に表示され AWS アカウント 、 サービスによって所有されます。IAM 管理者はサービスにリンクされたロールのアクセス許可を表示できますが、編集することはできません。
サービスにリンクされたロールの作成または管理の詳細については、AWS 「 と連携するサービスIAM」を参照してください。表の「サービスリンクロール」列に Yes
と記載されたサービスを見つけます。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[はい] リンクを選択します。