More than 5 years have passed since last update.

Glueの使い方的な㉛(GlueやAthenaで見えるテーブルを制限する)

Posted at 2018-12-16

Glue リソースポリシーでアクセスコントロール

ユーザーAはGlueデータカタログのテーブル１が閲覧操作できるが、ユーザーBはGlueデータカタログのテーブル1を閲覧操作できないなどを実現する。

試す

管理者ユーザーは全部操作でき、se2_user31という名前のユーザーは閲覧操作できるテーブルに制限が掛かってることを確認

管理者ユーザーから確認

Glueデータカタログのデータベースが全部見えます

Glueデータカタログのテーブルが全部見えます

特定ユーザーに閲覧操作できるテーブルを限定します

ユーザー名：se2_user31
対象データベース：se2
対象テーブル：se2の配下すべて

Glueの画面から、[設定]をクリックし、"アクセス権限"の箇所にポリシーを書きます。

ポリシーは以下のように、「se2_user31というユーザーが、データカタログのデータベースse2とデータカタログのテーブルのse2配下全部に対して閲覧操作可能」という内容です。

※se2_user31ユーザーのIAMポリシーにはGlueの設定はなにも入れない

{
  "Version" : "2012-10-17",
  "Statement" : [ {
    "Effect" : "Allow",
    "Principal" : {
      "AWS" : "arn:aws:iam::xxxxxxxxxxxx:user/se2_user31"
    },
    "Action" : "glue:*",
    "Resource" : [ "arn:aws:glue:ap-northeast-1:xxxxxxxxxxxx:catalog", "arn:aws:glue:ap-northeast-1:xxxxxxxxxxxx:database/se2", "arn:aws:glue:ap-northeast-1:xxxxxxxxxxxx:table/se2/*" ]
  } ]
}