前提条件

IAM アイデンティティセンターを Lake Formation と統合するための前提条件は次のとおりです。

1. IAM アイデンティティセンターを有効にする — IAM アイデンティティセンターを有効にすることは、認証と ID の伝播をサポートするための前提条件です。

2. ID ソースを選択する — IAM アイデンティティセンターを有効にしたら、ユーザーとグループを管理する ID プロバイダーが必要になります。組み込まれているアイデンティティセンターディレクトリをアイデンティティソースとして使用することも、Microsoft Entra ID や Okta などの外部 IdP を使用することもできます。

   詳細については、「 ユーザーガイド」の「ID ソースの管理」および「外部 ID プロバイダーへの接続 AWS IAM Identity Center 」を参照してください。

3. IAM ロールを作成する — IAM アイデンティティセンター接続を作成するロールには、以下のインラインポリシーのように、Lake Formation と IAM アイデンティティセンターでアプリケーション設定を作成および変更するアクセス許可が必要です。

   IAM のベストプラクティスに従ってアクセス許可を追加する必要があります。特定のアクセス許可については、以降の手順で詳しく説明します。詳細については、「IAM アイデンティティセンターの開始方法」を参照してください。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "lakeformation:CreateLakeFormationIdentityCenterConfiguration",
                   "sso:CreateApplication",
                   "sso:PutApplicationAssignmentConfiguration",
                   "sso:PutApplicationAuthenticationMethod",
                   "sso:PutApplicationGrant",
                   "sso:PutApplicationAccessScope",
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }
    

   Data Catalog リソースを外部 AWS アカウント または組織と共有する場合は、リソース共有を作成するための AWS Resource Access Manager （AWS RAM) アクセス許可が必要です。リソースの共有に必要なアクセス許可の詳細については、「クロスアカウントデータ共有の前提条件」を参照してください。

以下のインラインポリシーには、Lake Formation と IAM アイデンティティセンターの統合のプロパティを表示、更新、削除するために必要な特定の権限が含まれています。

• 以下のインラインポリシーを使用して、IAM ロールで Lake Formation と IAM アイデンティティセンターの統合を表示できるようにします。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "lakeformation:DescribeLakeFormationIdentityCenterConfiguration",
                  "sso:DescribeApplication"
              ],
              "Resource": [
                  "*"
              ]
          }
      ]
  }

• 以下のインラインポリシーを使用して、IAM ロールで Lake Formation と IAM アイデンティティセンターの統合を更新できるようにします。このポリシーには、外部アカウントとリソースを共有するために必要なオプションのアクセス許可も含まれています。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "lakeformation:UpdateLakeFormationIdentityCenterConfiguration",
                  "lakeformation:DescribeLakeFormationIdentityCenterConfiguration",
                  "sso:DescribeApplication",
                  "sso:UpdateApplication",
              ],
              "Resource": [
                  "*"
              ]
          }
      ]
  }
      

• 以下のインラインポリシーを使用して、IAM ロールで Lake Formation と IAM アイデンティティセンターの統合を削除できるようにします。

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                  "lakeformation:DeleteLakeFormationIdentityCenterConfiguration",
                  "sso:DeleteApplication",
              ],
              "Resource": [
                  "*"
              ]
          }
      ]
  }
            

• IAM アイデンティティセンターのユーザーおよびグループにデータレイクのアクセス許可を付与または取り消すのに必要な IAM アクセス許可については、「Lake Formation 許可の付与と取り消しに必要な IAM 許可」を参照してください。

アクセス許可の説明

• lakeformation:CreateLakeFormationIdentityCenterConfiguration – Lake Formation IdC 設定を作成します。

• lakeformation:DescribeLakeFormationIdentityCenterConfiguration – 既存の IdC 設定について説明します。

• lakeformation:DeleteLakeFormationIdentityCenterConfiguration – 既存のLake Formation IdC 設定を削除できます。

• lakeformation:UpdateLakeFormationIdentityCenterConfiguration – 既存のLake Formation 設定を変更するために使用されます。

• sso:CreateApplication – IAM アイデンティティセンターのアプリケーションを作成するために使用されます。

• sso:DeleteApplication – IAM アイデンティティセンターのアプリケーションを削除するために使用されます。

• sso:UpdateApplication – IAM アイデンティティセンターのアプリケーションの更新に使用されます。

• sso:PutApplicationGrant – 信頼できるトークン発行者の情報を変更するために使用されます。

• sso:PutApplicationAuthenticationMethod – Lake Formation 認証アクセスを許可します。

• sso:GetApplicationGrant – 信頼できるトークン発行者の情報を一覧表示するために使用されます。

• sso:DeleteApplicationGrant – 信頼できるトークン発行者の情報を削除します。

• sso:PutApplicationAccessScope – アプリケーションの IAM アイデンティティセンターアクセススコープの承認済みターゲットのリストを追加または更新します。

• sso:PutApplicationAssignmentConfiguration – ユーザーがアプリケーションにアクセスする方法を設定するために使用されます。