계정 간 데이터 공유 버전 설정 업데이트

때때로 계정 간 데이터 공유 설정을 AWS Lake Formation 업데이트하여 AWS RAM 사용에 대한 변경 사항을 구분하고 계정 간 데이터 공유 기능에 대한 업데이트를 지원합니다. Lake Formation이 이 작업을 수행하면 크로스 계정 버전 설정의 새 버전이 생성됩니다.

크로스 계정 버전 설정 간의 주요 차이점

다양한 크로스 계정 버전 설정에서 계정 간 데이터 공유가 작동하는 방식에 대한 자세한 내용은 다음 섹션을 참조하십시오.

참고

다른 계정과 데이터를 공유하려면 부여자에게 AWSLakeFormationCrossAccountManager 관리형 IAM 정책 권한이 있어야 합니다. 이는 모든 버전의 전제 조건입니다.

교차 계정 버전 설정을 업데이트해도 수신자가 공유 리소스에 대해 갖는 권한에는 영향을 주지 않습니다. 이는 버전 1에서 버전 2로, 버전 2에서 버전 3으로, 버전 1에서 버전 3으로 업데이트할 때 적용됩니다. 버전을 업데이트할 때는 아래 나열된 고려 사항을 참조하십시오.

버전 1

지정된 리소스 방법: 각 계정 간 Lake Formation 권한 부여를 하나의 AWS RAM 리소스 공유에 매핑합니다. 사용자 (부여자 역할 또는 주체) 에게는 추가 권한이 필요하지 않습니다.

LF-TBAC 방식: 계정 간 Lake Formation 권한 부여는 데이터 공유에 사용되지 않습니다AWS RAM. 사용자에게 권한이 있어야 합니다. glue:PutResourcePolicy

버전 업데이트의 이점: 초기 버전 - 해당 없음.

버전 업데이트 시 고려 사항: 초기 버전 - 해당 없음

버전 2

지정 리소스 방법: 여러 계정 간 권한 부여를 하나의 AWS RAM 리소스 공유에 매핑하여 AWS RAM 리소스 공유 수를 최적화합니다. 사용자에게는 추가 권한이 필요하지 않습니다.

LF-TBAC 방식: 계정 간 Lake Formation 권한 부여는 데이터 공유에 사용되지 않습니다AWS RAM. 사용자에게 권한이 있어야 합니다. glue:PutResourcePolicy

버전 업데이트의 이점: 최적의 AWS RAM 용량 활용을 통한 확장 가능한 교차 계정 설정

버전 업데이트 시 고려 사항: 계정 간 Lake Formation 권한을 부여하려는 사용자는 AWSLakeFormationCrossAccountManager AWS 관리형 정책에서 권한을 가지고 있어야 합니다. 그렇지 않으면 다른 ram:AssociateResourceShare 계정과 리소스를 성공적으로 공유할 수 있는 ram:DisassociateResourceShare 권한과 권한이 있어야 합니다.

버전 3

지정된 리소스 방법: 여러 계정 간 권한 부여를 하나의 AWS RAM 리소스 공유와 매핑하여 AWS RAM 리소스 공유 수를 최적화합니다. 사용자에게는 추가 권한이 필요하지 않습니다.

LF-TBAC 방식: Lake Formation은 계정 간 보조금에 사용합니다AWS RAM. 사용자는 권한에 glue: ShareResource 설명을 추가해야 합니다. glue:PutResourcePolicy 수신자는 리소스 공유 초대를 수락해야 합니다. AWS RAM

버전 업데이트의 이점: 다음 기능을 지원합니다.

• 외부 계정의 IAM 보안 주체와 리소스를 명시적으로 공유할 수 있습니다.

  자세한 정보는 데이터 카탈로그 리소스에 대한 권한 부여 및 취소을 참조하세요.

• LF-TBAC 방식을 사용하여 조직 또는 조직 단위 (OU) 에 계정 간 공유를 가능하게 합니다.

• 계정 간 부여에 대한 추가 정책을 유지 관리하는 데 따르는 오버헤드를 제거합니다. AWS Glue

버전 업데이트 시 고려 사항: 권한 부여자가 버전 3 미만의 버전을 사용하고 수신자는 버전 3 이상을 사용하는 경우, 권한 부여자는 다음과 같은 오류 메시지를 받습니다. “잘못된 교차 계정 허가 요청. 소비자 계정은 크로스 어카운트 버전: v3에 동의했습니다. 최소 버전 DataLakeSetting v3으로 CrossAccountVersion 업데이트하십시오 (서비스: AmazonDataCatalog; 상태 코드: 400, 오류 코드: InvalidInputException).” 하지만 부여자가 버전 3을 사용하고 수신자가 버전 1 또는 버전 2를 사용하는 경우 계정 간 허가는 성공적으로 진행됩니다.

다른 계정의 IAM 보안 주체와 직접 리소스를 공유하려면 권한 부여자만 버전 3을 사용해야 합니다.

LF-TBAC 방식을 사용하여 이루어진 교차 계정 승인을 위해서는 사용자가 계정에 리소스 정책을 가지고 있어야 합니다. AWS Glue Data Catalog 버전 3으로 업데이트하면 LF-TBAC 그랜트가 사용합니다. AWS RAM AWS RAM기반 계정 간 권한 부여가 성공하도록 허용하려면 섹션에 표시된 대로 기존 데이터 카탈로그 리소스 정책에 glue:ShareResource 설명을 추가해야 합니다. Lake AWS Glue Formation과 Lake Formation을 모두 사용하여 계정 간 권한 관리

버전 4

권한 부여자가 하이브리드 액세스 모드에서 데이터 카탈로그 리소스를 공유하려면 버전 4 이상이 필요합니다.

AWS RAM리소스 공유 최적화

계정 간 지원의 새 버전 (버전 2 이상) 은 AWS RAM 용량을 최적으로 활용하여 계정 간 사용을 극대화합니다. 외부 AWS 계정 또는 IAM 보안 주체와 리소스를 공유하는 경우 Lake Formation은 새 리소스 공유를 생성하거나 리소스를 기존 공유와 연결할 수 있습니다. Lake Formation은 기존 주식과 연계함으로써 소비자가 수락해야 하는 리소스 공유 초대의 수를 줄입니다.

TBAC를 통해 AWS RAM 주식 공유를 활성화하거나 주도자와 직접 리소스를 공유할 수 있습니다.

다른 계정의 IAM 보안 주체와 직접 리소스를 공유하거나 Organizations 또는 조직 구성 단위에 대한 TBAC 교차 계정 공유를 활성화하려면 교차 계정 버전 설정을 버전 3으로 업데이트해야 합니다. 리소스 제한에 대한 자세한 내용은 을 참조하십시오. AWS RAM 교차 계정 모범 사례 및 제한

계정 간 버전 설정을 업데이트하는 데 필요한 권한

교차 계정 권한 부여자가 IAM 정책 권한을 AWSLakeFormationCrossAccountManager 관리한 경우에는 교차 계정 권한 부여자 역할 또는 보안 주체에 대한 추가 권한 설정이 필요하지 않습니다. 하지만 교차 계정 부여자가 관리형 정책을 사용하지 않는 경우 새 버전의 교차 계정 부여가 성공하려면 부여자 역할 또는 보안 주체에게 다음과 같은 IAM 권한이 부여되어야 합니다.

  
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": [
         "ram:AssociateResourceShare",
         "ram:DisassociateResourceShare",
         "ram:GetResourceShares"
       ],
     "Resource": "*",
     "Condition": {
       "StringLike": {
         "ram:ResourceShareName": "LakeFormation*"
        }
      }
    }
  ]
}
     

새 버전을 활성화하려면

다음 단계에 따라 AWS Lake Formation 콘솔 또는 를 통해 교차 계정 버전 설정을 업데이트하십시오AWS CLI.

Console

1. 데이터 카탈로그 설정 페이지의 교차 계정 버전 설정에서 버전 2, 버전 3 또는 버전 4를 선택합니다. 버전 1을 선택하면 Lake Formation이 기본 리소스 공유 모드를 사용합니다.

   

2. 저장을 선택합니다.

AWS Command Line Interface (AWS CLI)

put-data-lake-settingsAWS CLI명령을 사용하여 CROSS_ACCOUNT_VERSION 파라미터를 설정합니다. 허용되는 값은 1, 2, 3입니다.

aws lakeformation put-data-lake-settings --region us-east-1 --data-lake-settings file://settings
{
    "DataLakeAdmins": [
        {
            "DataLakePrincipalIdentifier": "arn:aws:iam::111122223333:user/test"
        }
    ],
    "CreateDatabaseDefaultPermissions": [],
    "CreateTableDefaultPermissions": [],
    "Parameters": {
        "CROSS_ACCOUNT_VERSION": "3"
    }
}                       
                         

중요

버전 2 또는 버전 3을 선택하면 새로 지정된 리소스 부여가 모두 새로운 계정 간 부여 모드를 거치게 됩니다. 기존 교차 계정 주식의 AWS RAM 용량을 최적으로 사용하려면 이전 버전에서 제공되었던 보조금을 취소하고 새 모드에서 다시 부여하는 것이 좋습니다.