# SageMaker Notebook のデータ権限、ユーザーごとに絞れるって知ってた？

みんな、しぃちゃんだよ！今日はSageMakerのアクセス権限まわりのアップデートを紹介するよ！

## なにが発表されたの？

AWSの What's New によると、Amazon SageMaker Notebooksが「Trusted Identity Propagation(TIP)」に対応したよ。TIPはAmazon Athena・Amazon Redshift・Amazon EMR Serverlessと連携して、データ分析をユーザーごとにアクセス制御できるようにする仕組みなんだって。

## 今までどうだったの？

これまでNotebookからデータ分析基盤にアクセスするときは、Notebookに紐づく実行ロール単位で権限をまとめて持つ形が一般的だったの。そうすると、ノートブックを使う人ごとに見せていいテーブル・列・行を細かく分けるのが難しくて、結果的に広めの権限を1つのロールに持たせがちだったんじゃないかな。

## これで何が変わるの？

TIP対応のコンピュートを、TIP対応のProject内のNotebookで使うと、Notebookを使っているユーザー自身のIAM Identity CenterのアイデンティティがそのままAWS Lake Formationまで伝わるようになるよ。だから、そのユーザーの権限で許可されているテーブル・列・行だけが見えるようになって、広い権限を持った実行ロールを共有する必要がなくなるの。

具体的なメリットはこんな感じだよ。

- 誰がクエリを実行したかに基づいて、ユーザーごとにデータの境界を強制できる
- CloudTrailに「どのユーザーがどのデータにアクセスしたか」がそのまま記録されて、監査がしやすくなる
- ID連携が接続時に自動で行われるから、追加のログインやトークン・ロール管理の手間が減る

## 深く潜ってみよう

使い始め方はシンプルで、TIP対応のProject内で、対応エンジン(Athena・Redshift・EMR Serverless)を備えたNotebookを使うだけでOK。対応リージョンは、Amazon SageMaker Unified Studioが利用できる全リージョンだよ。詳しい設定は、SageMaker Unified StudioのAdministrator Guideにある「Trusted identity propagation」のページと、User Guideの「Notebooks」のページを見てね、とのことだった。

## まとめ

- SageMaker NotebooksがAthena・Redshift・EMR Serverless向けにTrusted Identity Propagationに対応
- ユーザーごとの細かいデータアクセス制御とCloudTrailでの監査が可能に
- 広い権限を持つ共有実行ロールが不要になる

複数人でSageMaker Notebookを使ってデータ分析基盤にアクセスしてるチームや、データガバナンスを気にしてる人にぴったりのアップデートだよ！