Redshift認可、アップデートでどう変わった？

【AWS】AWS10分LT会 - vol.8での登壇資料です。
https://aws-likers.connpass.com/event/376870/

Transcript

1. Copyright © 2025 BeeX Inc. All Rights Reserved. Redshift認可、アップデートでどう変わった？ AWS10分LT回 – vol.8 株式会社BeeX 半田 大樹
2. Copyright © 2025 BeeX Inc. All Rights Reserved. 2 • 自己紹介 • Redshiftについて • Redshiftの認証と認可 • これまでのRedshiftの認可管理 • アップデートでどう変わった？ • まとめ 目次
3. Copyright © 2025 BeeX Inc. All Rights Reserved. 3 自己紹介 Name | 半田 大樹（Handa Daiki） Corp | 株式会社BeeX Job | クラウドエンジニア Like | Amazon S3 Hobby | クラウド資格取得、猫のお世話 ×14 ×10 ×13 @handydd18 2025 Japan AWS ALL Certifications Engineer 2024 Japan AWS ALL Certifications Engineer 2023 Japan AWS Top Engineer 2023 Japan AWS ALL Certifications Engineer 2022 APN ALL AWS Certifications Engineer 執筆書籍 →Data AWS10分LT回 – vol.8
4. Copyright © 2025 BeeX Inc. All Rights Reserved. 4 Amazon Redshift は、クラウドベースのフルマネージド型、ペタバイト規模の データウェアハウスサービスです。 [公式ドキュメントから引用] Redshiftについて データを集める データをためる データを加工する データを活用する AWS10分LT回 – vol.8
5. Copyright © 2025 BeeX Inc. All Rights Reserved. 5 Amazon Redshift は、クラウドベースのフルマネージド型、ペタバイト規模の データウェアハウスサービスです。 [公式ドキュメントから引用] Redshiftについて データを集める データをためる データを加工する データを活用する AWS Glue Amazon S3 Amazon Redshift Amazon QuickSight ※サービスは一例 AWS10分LT回 – vol.8
6. Copyright © 2025 BeeX Inc. All Rights Reserved. 6 Amazon Redshift は、クラウドベースのフルマネージド型、ペタバイト規模の データウェアハウスサービスです。 [公式ドキュメントから引用] Redshiftについて データを集める データをためる データを加工する データを活用する AWS Glue Amazon S3 Amazon Redshift Amazon QuickSight ※サービスは一例 AWS10分LT回 – vol.8
7. Copyright © 2025 BeeX Inc. All Rights Reserved. 7 Amazon Redshift は、クラウドベースのフルマネージド型、ペタバイト規模の データウェアハウスサービスです。 [公式ドキュメントから引用] Redshiftについて データを集める データをためる データを加工する データを活用する AWS Glue Amazon S3 Amazon Redshift Amazon QuickSight 今日はここの話 ※サービスは一例 AWS10分LT回 – vol.8
8. Copyright © 2025 BeeX Inc. All Rights Reserved. 8 • Redshift関連の認証方法 • AWSリソース • IAM Identity Centerユーザー • IAMユーザー • IAMロール • データベースリソース • IAM Identity Center • Federated user • データベースユーザー • 一時的な認証情報 • AWS Secrets Manager Redshiftの認証と認可 AWS10分LT回 – vol.8 Redshiftデータベースの認証画面
9. Copyright © 2025 BeeX Inc. All Rights Reserved. 9 • Redshift関連の認証方法 • AWSリソース • IAM Identity Centerユーザー • IAMユーザー • IAMロール • データベースリソース • IAM Identity Center • Federated user • データベースユーザー • 一時的な認証情報 • AWS Secrets Manager Redshiftの認証と認可 AWS10分LT回 – vol.8 IAMユーザーまたはIAMロールのAWSタグに以下を設定して 指定したユーザーでログインする • RedshiftDbUser：DBログイン後のデータベースユーザー名 • RedshiftDbGroups：ログイン後のデータベースグループ名 ※操作するIAMユーザーまたはIAMロールに 「redshift:GetClusterCredentialsWithIAM」の権限が付与されていること IAMユーザーまたはIAMロールの権限を利用して一時的な認証情報 を作成してログインする • データベースユーザー名 • IAM ID ※操作するIAMユーザーまたはIAMロールに 「redshift:GetClusterCredentialsWithIAM」の権限が付与されていること
10. Copyright © 2025 BeeX Inc. All Rights Reserved. 10 • Redshift関連の認可方法 • AWSリソース • IAMポリシー • Redshift API • Redshift Data API • Redshift Serverless API • データベースリソース • データベースオブジェクト権限 • SELECT • INSERT • UPDATE • DELETE • REFERENCES • CREATE • TEMPORARY • USAGE • など Redshiftの認証と認可 AWS10分LT回 – vol.8
11. Copyright © 2025 BeeX Inc. All Rights Reserved. 11 • クラスターへのアクセス権限はIAMポリシーで行う • クラスター内のデータへのアクセスはDB権限をDBユーザーなどに付与する • 用途によって複数クラスターが構築されている場合は、クラスターごとにDB権限付与作業が必要 • 別のクラスター上にあるデータにアクセスしたい場合は、データ共有機能などの利用が必要 これまでのRedshiftの認可管理 AWS10分LT回 – vol.8 RedshiftクラスターA RedshiftクラスターB Database Database IAMユーザー DBユーザー DBユーザー DB権限を付与 DB権限を付与 直接のアクセスは不可
12. Copyright © 2025 BeeX Inc. All Rights Reserved. 12 • 2025年11月24日に複数のRedshiftクラスター間でアクセス許可の管理を簡易化する 「フェデレーテッドアクセス許可」機能がリリースされた • これを利用することで、クラスターごとのデータアクセス権限の設定をしなくても、 別のクラスター上のデータにアクセスができるようになった アップデートでどう変わった？ https://aws.amazon.com/jp/about-aws/whats-new/2025/11/amazon-redshift-federated-permissions-multi-warehouse-architectures/ AWS10分LT回 – vol.8
13. Copyright © 2025 BeeX Inc. All Rights Reserved. 13 • アップデート前 • 各クラスターごとにアクセス許可の設定が必要だった • アップデート後 • 個別のアクセス許可が不要になり、マウントされたGlueデータカタログからデータにアクセスができるようになった アップデートでどう変わった？ RedshiftクラスターA RedshiftクラスターB それぞれで アクセス許可設定が必要 RedshiftクラスターA RedshiftクラスターB AWS Glue Data Catalog 登録 登録 クラスターBのデータ を自動マウント クラスターAのデータ を自動マウント AWS10分LT回 – vol.8 アップデート前 アップデート後
14. Copyright © 2025 BeeX Inc. All Rights Reserved. 14 • 設定タイミング(Redshift) • 新規クラスター作成時 • スナップショットからクラスター復元時 • 既存クラスターの設定変更時 • 設定タイミング(Redshift Serverlss) • 名前空間の設定変更時 • 設定項目 • カタログ名識別子 • IAM Identity Center関連付け アップデートでどう変わった？(設定内容) AWS10分LT回 – vol.8
15. Copyright © 2025 BeeX Inc. All Rights Reserved. 15 • 実際のクエリ画面 アップデートでどう変わった？ AWS10分LT回 – vol.8
16. Copyright © 2025 BeeX Inc. All Rights Reserved. 16 • データベースユーザーではクエリができない アップデートでどう変わった？
17. Copyright © 2025 BeeX Inc. All Rights Reserved. 17 • Glue Data Catalogに登録するとあったが、コンソール上は確認できなかった アップデートでどう変わった？ AWS10分LT回 – vol.8
18. Copyright © 2025 BeeX Inc. All Rights Reserved. 18 • 複数のRedshiftクラスターを構築しており、IAMフェデレーションアクセスまたはIAM Identity Center アクセスを有効化しているケースであれば、データアクセスや権限管理が楽になる(…かも) • ただ、権限を付与していればデータの書き込みなども可能になるため、開発環境と本番環境が同AWSア カウント内に作成されているケースでは運用ミスなどが発生する可能性がある • 管理対象のRedshiftクラスターが少ないケースで、別のクラスターにデータを共有するのであれば、 Redshiftのデータ共有機能を先に検討しても良さそう • 2025/12/26時点では次のような制約があるため利用時は要確認 • サポートされているリージョンは ムンバイ、北カリフォルニア、フランクフルト、オハイオ • インスタンスタイプはRA3プロビジョニングクラスター、またはサーバーレスワークグループ • Redshiftリソースが同じAWSアカウント・AWSリージョンに存在すること • 暗号化が有効で、分離レベルがスナップショット分離であること • UDF、MLモデル、外部スキーマのクエリには未対応 • データベースユーザー、タグ＋IAMフェデレーションユーザーはクエリできない まとめ AWS10分LT回 – vol.8
19. Copyright © 2025 BeeX Inc. All Rights Reserved. Copyright © 2025 BeeX Inc. All Rights Reserved.