DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問2
データセキュリティとガバナンス／認可メカニズムの適用データレイク上のテーブルに対して、ユーザーやチームごとに、テーブル単位・列単位・行単位のきめ細かいアクセス許可を一元的に管理し、Athena・Redshift・EMR から一貫して適用したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- AAWS Lake Formation でデータレイクのアクセス許可を一元管理し、テーブル／列／行レベルの権限を付与する
- BS3 バケットポリシーだけで列・行レベルのアクセスを制御する
- Cテーブルごとに IAM ユーザーを作成して個別にパスワードを配布する
- Dデータを一般公開し、利用側で必要な部分だけ使ってもらう
正解：A
解説
AWS Lake Formation は、データレイクのアクセス許可を一元管理し、テーブル・列・行レベルのきめ細かい権限を付与できます。付与した権限は Athena・Redshift Spectrum・EMR・Glue など複数の分析サービスから一貫して適用されます。S3 バケットポリシー単体では列・行レベルの制御は難しく、テーブルごとの IAM ユーザーや一般公開は不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。Lake Formation でテーブル／列／行レベルの権限を一元管理し、複数サービスへ一貫適用できます。
- B誤り。S3 バケットポリシーは粗粒度で、列・行レベルの制御には向きません。
- C誤り。テーブルごとの IAM ユーザー作成・パスワード配布は管理が破綻し不適切です。
- D誤り。一般公開は最小権限に反し、機密データ保護になりません。