데이터 위치 권한 부여(동일 계정)

다음 단계에 따라 AWS 계정 내 보안 주체에 데이터 위치 권한을 부여합니다. Lake Formation 콘솔, API 또는 AWS Command Line Interface (AWS CLI)를 사용하여 권한을 부여할 수 있습니다.

데이터 위치 권한을 부여하려면(동일 계정, 콘솔)

1. https://console.aws.amazon.com/lakeformation/ 에서 AWS Lake Formation 콘솔을 엽니다. 데이터 레이크 관리자 또는 원하는 데이터 위치에 대한 권한을 부여한 보안 주체로 로그인합니다.

2. 탐색 창의 권한에서 데이터 위치를 선택합니다.

3. 권한 부여를 선택합니다.

4. 권한 부여 대화 상자에서 내 계정 타일이 선택되어 있는지 확인합니다. 다음 정보를 제공합니다.

   • IAM 사용자 및 역할의 경우 보안 주체를 하나 이상 선택합니다.

   • SAML 및 Amazon QuickSight 사용자 및 그룹의 경우 Amazon 사용자 또는 그룹의 경우 SAML 또는 ARN을 통해 페더레이션된 사용자 또는 그룹에 대해 Amazon 리소스 이름 (ARN) 을 하나 이상 입력합니다. QuickSight

     ARN을 한 번에 하나씩 입력하고 각 ARN을 입력한 후에 Enter 키를 누릅니다. ARN을 구성하는 방법에 대한 자세한 내용은 Lake Formation 권한 부여 및 취소 명령 AWS CLI 섹션을 참조하세요.

   • 스토리지 위치의 경우 찾아보기를 선택하고 Amazon Simple Storage Service(S3) 스토리지 위치를 선택합니다. 위치가 Lake Formation에 등록되어 있어야 합니다. 다른 위치를 추가하려면 찾아보기를 다시 선택합니다. 위치를 입력할 수도 있지만 위치 앞에 s3://를 추가해야 합니다.

   • 등록 계정 위치에는 위치가 등록된 AWS 계정 ID를 입력합니다. 기본값은 사용자의 계정 ID입니다. 교차 계정 시나리오에서 수신자 계정의 데이터 레이크 관리자는 수신자 계정의 다른 보안 주체에게 데이터 위치 권한을 부여할 때 여기에서 소유자 계정을 지정할 수 있습니다.

   • (선택 사항) 선택한 보안 주체가 선택한 위치에 대한 데이터 위치 권한을 부여할 수 있도록 하려면 부여 가능을 선택합니다.

   

5. 권한 부여를 선택합니다.

데이터 위치 권한을 부여하려면 (동일한 계정, AWS CLI)

• grant-permissions명령을 실행하고 보안 주체에 DATA_LOCATION_ACCESS 권한을 부여하여 Amazon S3 경로를 리소스로 지정합니다.

  다음 예제는 s3://retail에 대한 데이터 위치 권한을 사용자 datalake_user1에게 부여합니다.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::<account-id>:user/datalake_user1 --permissions "DATA_LOCATION_ACCESS" --resource '{ "DataLocation": {"ResourceArn":"arn:aws:s3:::retail"}}'

  다음 예제는 s3://retail에 대한 데이터 위치 권한을 ALLIAMPrincipals 그룹에 부여합니다.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333:IAMPrincipals --permissions "DATA_LOCATION_ACCESS" --resource '{ "DataLocation": {"ResourceArn":"arn:aws:s3:::retail", "CatalogId": "111122223333"}}'

추가 참고:

• Lake Formation 권한 참조