SageMaker Notebook のデータ権限、ユーザーごとに絞れるって知ってた？

みんな、しぃちゃんだよ！今日は SageMaker のアクセス権限まわりのアップデートを紹介するよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、Amazon SageMaker Notebooks が「Trusted Identity Propagation(TIP)」に対応したよ。TIP は Amazon Athena・Amazon Redshift・Amazon EMR Serverless と連携して、データ分析をユーザーごとにアクセス制御できるようにする仕組みなんだって。

今までどうだったの？

これまで Notebook からデータ分析基盤にアクセスするときは、Notebook に紐づく実行ロール単位で権限をまとめて持つ形が一般的だったの。そうすると、ノートブックを使う人ごとに見せていいテーブル・列・行を細かく分けるのが難しくて、結果的に広めの権限を 1 つのロールに持たせがちだったんじゃないかな。

これで何が変わるの？

TIP 対応のコンピュートを、TIP 対応の Project 内の Notebook で使うと、Notebook を使っているユーザー自身の IAM Identity Center のアイデンティティがそのまま AWS Lake Formation まで伝わるようになるよ。だから、そのユーザーの権限で許可されているテーブル・列・行だけが見えるようになって、広い権限を持った実行ロールを共有する必要がなくなるの。

具体的なメリットはこんな感じだよ。

• 誰がクエリを実行したかに基づいて、ユーザーごとにデータの境界を強制できる
• CloudTrail に「どのユーザーがどのデータにアクセスしたか」がそのまま記録されて、監査がしやすくなる
• ID 連携が接続時に自動で行われるから、追加のログインやトークン・ロール管理の手間が減る

深く潜ってみよう

使い始め方はシンプルで、TIP 対応の Project 内で、対応エンジン(Athena・Redshift・EMR Serverless)を備えた Notebook を使うだけで OK。対応リージョンは、Amazon SageMaker Unified Studio が利用できる全リージョンだよ。詳しい設定は、SageMaker Unified Studio の Administrator Guide にある「Trusted identity propagation」のページと、User Guide の「Notebooks」のページを見てね、とのことだった。

まとめ

• SageMaker Notebooks が Athena・Redshift・EMR Serverless 向けに Trusted Identity Propagation に対応
• ユーザーごとの細かいデータアクセス制御と CloudTrail での監査が可能に
• 広い権限を持つ共有実行ロールが不要になる

複数人で SageMaker Notebook を使ってデータ分析基盤にアクセスしてるチームや、データガバナンスを気にしてる人にぴったりのアップデートだよ！