Amazon Redshift クエリエディタ V2 で信頼できる ID の伝播を設定する

PDF

RSS

フォーカスモード

Amazon Redshift クエリエディタ V2 で信頼できる ID の伝播を設定する - AWS IAM Identity Center

前提条件 IAM Identity Center 管理者が実行するタスク Amazon Redshift 管理者が実行するタスク

次の手順では、Amazon Redshift クエリエディタ V2 から Amazon Redshift への信頼できる ID の伝播を実現する方法について説明します。

前提条件

このチュートリアルを開始する前に、以下を設定する必要があります。

IAM アイデンティティセンターを有効にします。組織インスタンスが推奨されます。詳細については、「前提条件と考慮事項」を参照してください。
ID のソースから IAM アイデンティティセンターにユーザーとグループをプロビジョニングします。

信頼できる ID の伝播を有効にするには、IAM Identity Center コンソールで IAM Identity Center 管理者が実行するタスクと、Amazon Redshift コンソールで Amazon Redshift 管理者が実行するタスクが含まれます。

IAM Identity Center 管理者が実行するタスク

IAM Identity Center 管理者が完了する必要がある以下のタスク。

次のアクセス許可ポリシーを使用して、Amazon Redshift クラスターまたは Serverless インスタンスが存在するアカウントに IAM ロールを作成します。詳細については、「IAM ロールの作成」を参照してください。

次のポリシーの例には、このチュートリアルを完了するために必要なアクセス許可が含まれています。このポリシーを使用するには、サンプルポリシーのイタリック体のプレースホルダーテキストを独自の情報に置き換えます。その他の手順については、「ポリシーの作成」または「ポリシーの編集」を参照してください。

アクセス許可ポリシー：


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowRedshiftApplication",
            "Effect": "Allow",
            "Action": [
                "redshift:DescribeQev2IdcApplications",
                "redshift-serverless:ListNamespaces",
                "redshift-serverless:ListWorkgroups",
                "redshift-serverless:GetWorkgroup"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowIDCPermissions",
            "Effect": "Allow",
            "Action": [
                "sso:DescribeApplication",
                "sso:DescribeInstance"
            ],
            "Resource": [
                "arn:aws:sso:::instance/Your-IAM-Identity-Center-Instance ID",
                "arn:aws:sso::Your-AWS-Account-ID:application/Your-IAM-Identity-Center-Instance-ID/*"
            ]
        }
    ]
}

信頼ポリシー：


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "redshift-serverless.amazonaws.com",
                    "redshift.amazonaws.com"
                ]
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ]
        }
    ]
}

IAM Identity Center が有効になっている管理アカウントに許可セットを作成します。 AWS Organizations 次のステップでこれを使用して、フェデレーティッドユーザーが Redshift クエリエディタ V2 にアクセスできるようにします。
1. IAM Identity Center コンソールに移動し、マルチアカウントのアクセス許可で、アクセス許可セットを選択します。
2. [Create permission set] (アクセス権限セットの作成) を選択します。
3. カスタムアクセス許可セットを選択し、次へを選択します。
4. AWS 管理ポリシーで、を選択しますAmazonRedshiftQueryEditorV2ReadSharing。
5. インラインポリシーで、次のポリシーを追加します。
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "redshift:DescribeQev2IdcApplications",
                "redshift-serverless:ListNamespaces",
                "redshift-serverless:ListWorkgroups",
                "redshift-serverless:GetWorkgroup"
            ],
            "Resource": "*"
        }
    ]
}
```
6. 次へを選択し、権限セット名の名前を指定します。例えば、Redshift-Query-Editor-V2 と指定します。
7. リレーステート – オプションで、デフォルトのリレーステートをクエリエディタ V2 URL に設定します。形式はですhttps://your-region.console.aws.amazon.com/sqlworkbench/home。
8. 設定を確認し、作成を選択します。
9. IAM Identity Center ダッシュボードに移動し、概要の設定セクションから AWS アクセスポータル URL をコピーします。
10. 新しいシークレットブラウザウィンドウを開き、URL を貼り付けます。
  
  これにより、 AWS アクセスポータルに移動し、IAM Identity Center ユーザーでサインインしていることを確認できます。
  
  アクセス許可セットの詳細については、「」を参照してくださいアクセス許可セット AWS アカウントを使用してを管理する。
Redshift クエリエディタ V2 へのフェデレーティッドユーザーのアクセスを有効にします。
1. AWS Organizations 管理アカウントで、IAM Identity Center コンソールを開きます。
2. ナビゲーションペインの [マルチアカウント権限] で、AWS アカウント を選択します。
3. AWS アカウントページで、アクセスを割り当てる AWS アカウントを選択します。
4. [ユーザーまたはグループの割り当て] を選択します。
5. ユーザーとグループの割り当てページで、アクセス許可セットを作成するユーザーまたはグループを選択します。[次へ] を選択します。
6. アクセス許可セットの割り当てページで、前のステップで作成したアクセス許可セットを選択します。[次へ] を選択します。
7. 割り当ての確認と送信ページで、選択内容を確認し、送信を選択します。

Amazon Redshift 管理者が実行するタスク

Amazon Redshift への信頼できる ID の伝播を有効にするには、Amazon Redshift クラスター管理者または Amazon Redshift Serverless 管理者が Amazon Redshift コンソールで多数のタスクを実行する必要があります。詳細については、 AWS ビッグデータブログの「Integrate Identity Provider (IdP) with Amazon Redshift Query Editor V2 and SQL Client using IAM Identity Center for seamless Single Sign-On」を参照してください。