20191001 AWS Black Belt Online Seminar AWS Lake Formation

© 2019, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential and Trademark© 2019, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential and Trademark
アマゾンウェブサービスジャパン株式会社
ソリューションアーキテクト上原誠
2019/10/01
【AWS Black Belt Online Seminar】
AWS Lake Formation
サービスカットシリーズ

© 2019, Amazon Web Services, Inc. or its Affiliates. All rights reserved. Amazon Confidential and Trademark
自己紹介
名前: 上原誠 (うえはらまこと)
所属: ソリューションアーキテクト
好きな AWS のサービス : AWS Glue, AWS Lake
Formation
担当：メディア, アドテクetc

AWS Black Belt Online Seminar とは
「サービス別」「ソリューション別」「業種別」のそれぞれのテーマに分かれて、アマゾ
ンウェブサービスジャパン株式会社が主催するオンラインセミナーシリーズです。
質問を投げることができます！
• 書き込んだ質問は、主催者にしか見えません
• 今後のロードマップに関するご質問は
お答えできませんのでご了承下さい
① 吹き出しをクリック
② 質問を入力
③ Sendをクリック
Twitter ハッシュタグは以下をご利用ください
#awsblackbelt

内容についての注意点
• 本資料では2019年10月01日時点のサービス内容および価格についてご説明しています。最新の
情報はAWS公式ウェブサイト(http://aws.amazon.com)にてご確認ください。
• 資料作成には十分注意しておりますが、資料内の価格とAWS公式ウェブサイト記載の価格に相違
があった場合、AWS公式ウェブサイトの価格を優先とさせていただきます。
• 価格は税抜表記となっています。日本居住者のお客様が東京リージョンを使用する場合、別途消
費税をご請求させていただきます。
• AWS does not offer binding price quotes. AWS pricing is publicly available and is subject
to change in accordance with the AWS Customer Agreement available at
http://aws.amazon.com/agreement/. Any pricing information included in this document
is provided only as an estimate of usage charges for AWS services based on certain
information that you have provided. Monthly charges will be based on your actual use of
AWS services, and may vary from the estimates provided.

Agenda
• データレイクとは
• AWS Lake Formation 登場の背景
• AWS Lake Formation とは
• AWS Lake Formation の機能
 セキュリティ
 データカタログ
 ブループリント
• 落ち穂拾い
• 料金
• まとめ

データレイクとは

データ
5年毎
我々が考える以上に
データは増えている
15
年間
使用期間
データプラットフォームに
求められるもの
1,000
倍
拡張性
>10倍
成長率

データにアクセスす
る人々も増えている
分析対象のデータに
対する要件も増えて
いる
データサイエンティスト
分析
ビジネスユーザー
アプリケーション
セキュアリアルタイム
柔軟性拡張性

AWSの公式ドキュメント
https://aws.amazon.com/jp/big-data/datalakes-and-analytics/what-is-a-data-lake/
データレイクは、規模にかかわらず、すべての構
造化データと非構造化データを保存できる一元化
されたリポジトリです。データをそのままの形で
保存できるため、データを構造化しておく必要が
ありません。また、ダッシュボードや可視化、
ビッグデータ処理、リアルタイム分析、機械学習
など、さまざまなタイプの分析を実行し、的確な
意思決定に役立てることができます。

なぜデータレイクが必要か
データレイクが提供するもの:
構造化、半構造化、非構造化データの取り扱い
ペタバイト、エクサバイトにわたる拡張性
様々な分析および機械学習ツールとの連携
データの移動を伴わずにデータを処理
低コストなデータの保存と分析
OLTP ERP CRM LOB
データウェアハウス
ビジネスイン
テリジェンス
データレイク
100110000100101011100
101010111001010100001
011111011010
0011110010110010110
0100011000010
デバイス Web センサーソーシャ
ル
カタログ
機械
学習
データウェア
ハウスクエリ
ビッグデー
タ処理
インタラク
ティブ
リアルタイム

AWS 上にデータレイク & 分析環境を構築されたお客様

AWS Lake Formation 登場の背景

データレイク構築時の代表的な作業フロー
① ストレージの準備
・セットアップ
② データの
取り込み
③ クレンジング、
整形、データの
カタログ化
④ セキュリティの設定
と適用
⑤ 分析にデータを
活用できるように
する
多くの作業ステップが必要

データレイクの構築には数ヶ月単位の時間が必要

複数サービス間でセキュリ
ティポリシーを適用
新たなインサイトを
提供するカタログ管理
データの認識、取り込み、
整形、変換
セキュアなデータレイクを短期間で構築
AWS Lake Formation

AWS Lake Formation 概要
データ取込みと
構造化
• 自動的にデータ取込み、成形、
暗号化して、既存のAmazon
S3バケットに登録
セキュリティ
＆
コントロール
• 適切なユーザー、グループ
に正しいデータへの
アクセス制御を定義
• データベース、表、列の単
位の粒度で制御可能
協調＆利用
• メタデータカタログを
利用した検索と定義確認
• 全てのアクセスはIAM
ポリシーによりチェック
• 新しいデータが取込まれ
たり、ツールが変更され
てもポリシーにより保護
可能
監視＆監査
• アクセス要求や発生した
ポリシー例外を記録
• アクティビティ履歴で
詳細に変更ログやデータ
の入手経路をレビュー

AWS Lake Formation の機能

Lake Formation の各コンポーネント
• データ取込みと構造化
• セキュリティ＆コントロール
• 協調＆利用
• 監視＆監査
AWS Lake Formation
ブループリント：汎用的なデータ取り込みテンプレートを
使い、自動的なデータ取り込みと構造化を実現
パーミッション：SQL ライクな Grant/Revoke でシンプ
ルなアクセス制御を実現
データカタログ：スキーマやロケーションなどのデータの
メタ情報を管理し、ファセット検索で探したいデータセッ
トを探しやすく
ロギング：コンソールによる直近のアクティビティの詳細
を確認

データレイク
ストレージ
データ
カタログ
アクセス
制御
データ
インポート
AWS Lake
Formation
クロー
ラー
機械学習
ベースの
データ前処理
ログ
データ
ベース
ブループリント
バルクロード
インクリメンタルロード
Amazon
RDS
Amazon Aurora
AWS
CloudTrail
Amazon
S3
Classic Load
Balancer
Application Load
Balancer
AWS Lake Formation – 主要機能

データレイク
ストレージ
データ
カタログ
アクセス
制御
AWS Lake
Formation
管理者
Amazon Athena
Amazon Redshift
AWS Glue
Amazon EMRAmazon S3
アクセスパーミッション
AWS Lake Formation – 主要機能

Lake Formation と AWS Glue の関係
Lake Formation は Glue の拡張機能と言え、セキュリティ強化やブループリントによるデータ取
り込みなどでより便利に Glue の機能を使えるようになっています。

データソースとして S3 を Lake Formation に登録
• S3 は Lake Formation のストレー
ジ層
• データソースとして、既存 S3 パス
を Lake Formation に登録
• Lake Formation と信頼関係があり
S3 パスへの読み取り/書き込み権限
を持つ IAM ロールを選択
• S3 パスに格納されたデータに、
Lake Formation からアクセスが可
能に
AWS Lake
Formation
登録することではじめて
Lake Formation での権
限制御の対象となります
登録(Register)
s3://xxx/yyy
Amazon
S3
ユーザー
Service-Linked Role

データソースとして S3 を Lake Formation に登録
設定は、Data Lake Location をクリックし、
[Register location]
S3 パスと Service-Linked Role を指定する

セキュリティ

Lake Formation 用語解説
 Data Lake Location
Lake Formation でアクセスパーミッションを行う対象の S3 パスを登録します。
 Data Location
プリンシパル※
に対して、Data Lake Location で登録した S3 パスにアクセス許
可を与えます。これによりデータベースやテーブルの作成ができるようになります。
※注釈：プリンシパルは IAM ユーザーや IAM ロールのこと

Lake Formation 以前のセキュリティ設定
これまで IAM と S3、Glue データカタログを組み合わせて実現していたデータレイク
のアクセスパーミッションでは、複数の異なる箇所に別々にポリシーを登録する必要が
ありました。例えば、IAM ユーザーに特定のバケットへの S3 の権限や特定のデータ
ベースやテーブルへの Glue の権限を与え、S3 バケットポリシーでも特定バケットに
対して権限を与えていました。
S3 バケット
アクセスコントロールリスト
バケットポリシー
Glue ジョブ
Glue データカタログ
Athena Redshift
IAM ポリシー
IAM ロール
IAM ユーザー
IAM ポリシー
IAM ロール
Fine-Grained Access Controle

これまで IAM と S3、Glue データカタログを組み合わせて実現していたデータレイク
のアクセスパーミッションでは、複数の異なる箇所に別々にポリシーを登録する必要が
ありました。例えば、IAM ユーザーに特定のバケットへの S3 の権限や特定のデータ
ベースやテーブルへの Glue の権限を与え、S3 バケットポリシーでも特定バケットに
対して権限を与えていました。
Lake Formation 以前のセキュリティ設定
Glue ジョブ
Athena Redshift
IAM ポリシー
IAM ロール
IAM ポリシー
IAM ロール
{ "Version": "2012-10-17", "Statement": [ { "Sid": "statement1", "Effect":
"Allow", "Principal": { "AWS": "arn:aws:iam::xxxxxxxxxxxx:user/taro" },
"Action": [ "s3:GetBucketLocation", "s3:ListBucket" ], "Resource":
[ "arn:aws:s3:::testbucket" ] }, { "Sid": "statement2", "Effect": "Allow",
"Principal": { "AWS": "arn:aws:iam::xxxxxxxxxxx:user/taro" }, "Action":
[ "s3:GetObject" ], "Resource": [ "arn:aws:s3:::testbucket/*" ] } ] }
{"Version": "2012-10-17","Statement": [{"Sid": ”statement1","Effect":
"Allow","Action":
["s3:PutAnalyticsConfiguration","s3:GetObjectVersionTagging","s3:GetBuck
etCORS","s3:GetBucketLocation","s3:GetObjectVersion","s3:ReplicateDelet
e”,…….],"Resource":
"arn:aws:s3:::testbucket"},{"Sid": ”statement2","Effect": "Allow","Action":
["s3:GetAccountPublicAccessBlock","s3:ListAllMyBuckets","s3:ListJobs","s3:
CreateJob","s3:HeadBucket”,……],"Resource": "*"}]}
S3 バケット
アクセスコントロールリスト
バケットポリシー
Fine-Grained Access Controle
{ "Version" : "2012-10-17", "Statement" : [ { "Effect" : "Allow",
"Principal" : { "AWS" :"arn:aws:iam::xxxxxxxxxxxx:user/taro" },
"Action" : "glue:*", "Resource" : [ "arn:aws:glue:ap-northeast-
1:xxxxxxxxxxxx:catalog", "arn:aws:glue:ap-northeast-
1:xxxxxxxxxxxx:database/dba", "arn:aws:glue:ap-northeast-
1:xxxxxxxxxxxx:table/dba/tablea" ] } ] }
IAM ユーザー

Lake Formation のセキュリティパーミッション
Lake Formation は、IAM を拡張した独自のアクセス許可モデルを持ち、
データレイク内のデータへのアクセスを保護します。
Lake Formation のアクセス許可モデルでは IAM ユーザーや IAM ロール
に対して、SQL ライクでシンプルな Grant/Revoke により、データレイク
に格納されているデータの一元的なきめ細かいアクセス制御が可能です。
S3
Lake Formation
Database A
Table A
permission
 select
 create table
Glue ジョブAthena
Redshift
Grant/Revoke

Lake Formation では、データロケーションのアクセス許可、データカタロ
グのアクセス許可、データアクセス許可の3種類に明示的に許可を与えます。
さらに明示的な許可またはデータベースやテーブル作成の結果として暗黙的
なアクセス許可が与えられます。
Lake Formation におけるセキュリティパーミッション
• データロケーションのアクセス許可
• データカタログのアクセス許可
• データアクセス許可
• 暗黙的なアクセス許可

データロケーションは、データが保存される S3 パスです。登録された S3 のある場
所にデータベースまたはテーブルを作成するために、プリンシパルにその場所に対す
るアクセス許可を与えます。
※ブループリントを使う場合は、S3 パスと、Lake Formation がブループリントにより作成されたワークフ
ローで対象のロケーションに対してテーブルを作成するための IAM ロールを指定します。
データロケーションのアクセス許可
Grant 選択

データカタログには、基となるデータに関するメタデータが格納されます。メタデータはデータベー
スとテーブルとして編成されています。テーブルは S3 に保存されているデータの場所を指します。
データベースはテーブルの集合です。データカタログのアクセス許可は、データベースとテーブルを
作成、編集、および削除する権限をシンプルな Grant/Revoke で与えます。
(例 CREATE_DATABASE, CREATE_TABLE)
データカタログのアクセス許可
Grant 選択CREATE_TABLEの例

テーブルの基になるデータを読み書きするために、プリンシパルにテーブルに対する
データアクセス許可をシンプルな Grant/Revoke で与えます。
(例 SELECT, INSERT)
データアクセス許可
Grant 選択

ユーザー 1
一部の列のみ
アクセス可能
ユーザー 2
全ての列に
アクセス可能
列レベルのアクセス制御の指定
データアクセス許可
テーブルおよび列レベルの権限付与

データカタログ権限の明示的な付与は、追加の暗黙的な権限の付与をする場合がありま
す。データベースの作成など特定の Lake Formation タスクを実行すると、暗黙的な
権限の付与も行われます。
暗黙的なアクセス許可
https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/implicit-permissions.html
• データベース作成者
作成するデータベース内のすべてのテーブルに対するすべての権限を持ちます。
• テーブル作成者
作成するテーブルに対するすべての権限を持ちます。作成するテーブルにアクセス許可を付
与できます。
• データレイクユーザー
権限を持つデータベースまたはテーブルを表示および一覧表示できます。

データレイク管理者の暗黙的なアクセス許可
• データカタログ内のすべてのオブジェクトへの完全なメタデータアクセスがあります。このア
クセスは管理者から取り消すことはできません。
• データレイク内のすべての Data Location Permission があります。
• データカタログ内のオブジェクトへのアクセスをプリンシパルに許可できます。このアクセス
は管理者から取り消すことはできません。
• データカタログにデータベースを作成できます。
• 別のユーザーにデータベースを作成する権限を付与できます。
• データロケーションに S3 パスを登録できます。
Lake Formation では、データレイク管理者※に以下の暗黙的なアクセス許可が与
えられます
※データレイク管理者は IAM の Administrator 権限を持つユーザーではな
く、Lake Formation で定義される管理者です。
データレイク管理者には、データベースを削除したり、テーブルを変更または削除するため
の暗黙的な権限はありません。ただしそのための権限を自分で付与できます。

アクセス許可の一覧
許可の種類 CREATE DATABASE,
CREATE TABLE (登録ロ
ケーションを指定) ※1
CREATE DATABASE,
CREATE TABLE ※1
SELECT, INSERT 主に作成したリソース
に対する権限
データロケーショ
ンのアクセス許可 ●
データカタログの
アクセス許可 ● ● ▲
※2
データアクセス許
可 ● ▲
※2
暗黙のアクセス許
可 ●
https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/data-catalog-permissions.html
※2 特定のデータベースや特定のテーブルへのアクセス権限
※1 CREATE_DATABASE や CREATE_TABLE は留意すべきケースがいくつかある
ので詳細は以下のリンクを確認ください。

アクセス時の連携イメージ
ユーザー
IAM ユーザー, ロール
Active Directory ユーザー
(フェデレーション) Amazon S3
Amazon
Athena
Amazon
Redshift
AWS Glue
Amazon
EMR
AWS Lake
Formation

従来の Glue によるアクセス制御との違い
データベースAは Lake Formation
に登録されていない S3 パスのテー
ブルがあるのでデータカタログのア
クセス許可と S3 アクセス許可など
の IAM ポリシーにより制御されます。
これは従来どおりです。
データベースBは Lake Formation
に登録とアクセス許可されている S3
パスのテーブルがあるので Lake
Formation の権限により制御されま
す。
データベースB データベースA
Lake Formation Lake Formation
に S3 パスの登録
とアクセス許可
データカタログ
S3://bbb
IAM によるア
クセス制御
Lake Formation
によるアクセス
制御
テーブルB
S3://aaa
テーブルA
S3://bbb

Lake Formation のペルソナ※と権限のリファレンス
ペルソナ説明
IAM 管理者(AWS管理者) 少なくても IAM と S3 へのフル権限を持つ。または
AdministratorAccess のIAM ポリシーを持つ。
データレイク管理者データカタログへアクセスし、データベースを作成し、他のユーザー
に Lake Formation による権限付与が行える。 IAM 管理者より持っ
ている IAM アクセス許可は少ないが、データレイクを管理するのに十
分な権限を持つ。
データエンジニア
(オプション)
所有するデータベースへの権限を持ち、ブループリントからワークフ
ローを作成し、ワークフローを実行するのに十分な権限を持つ。
データ分析者
(オプション)
Athena などを使用して、データレイクに対してクエリを実行できる
ユーザー。クエリを実行するための権限のみを持つ。
ワークフローロールユーザーに代わってワークフローを実行するロール。ブループリント
からワークフローを作成するときに、このロールを指定します。
https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/permissions-reference.html
※ペルソナ：データレイクを使うユーザータイプ

Lake Formation のペルソナ※と権限のリファレンス
ペルソナ IAM,
S3 全権
限
Lake Formation
の全権限
Lake Formation
の一部の権限
Pass Role 権限 Athena 等の分
析サービスの権
限
IAM 管理者(AWS
管理者) ●
データレイク管理
者
● ●
データエンジニア
(オプション) ● ●
データ分析者
(オプション) ● ●
ワークフローロー
ル
● ●
※ペルソナ：データレイクを使うユーザータイプ

データレイク管理者の権限
ポリシータイプポリシー
AWSマネージドルール AWSGlueConsoleFullAccess
インラインポリシー
(basic)
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"lakeformation:*",
"cloudtrail:DescribeTrails",
"cloudtrail:LookupEvents",
"iam:PutRolePolicy",
"iam:CreateServiceLinkedRole"
],
"Resource": "*"
},
{
"Effect": "Deny",
"Action": [
"lakeformation:PutDataLakeSettings"
],
"Resource": "*"
}
]
}
(pass role)
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "PassRolePermissions",
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
"arn:aws:iam::account-id:role/workflow_role"
]
}
]
}

データエンジニアの権限
AWSマネージドルール AWSGlueServiceRole
(data access)
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Lakeformation",
"Effect": "Allow",
"Action": [
"lakeformation:GetDataAccess",
"lakeformation:GrantPermissions"
],
"Resource": "*"
}
]
}
(pass role)
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
]
}
]
}
(for ingesting data
outside the data lake, for
example Cloudtrail logs)
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": ["s3:GetObject", "s3:ListBucket"],
"Resource": ["arn:aws:s3:::your-s3-cloudtrail-bucket/*"]
}
]
} https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/permissions-reference.html

データ分析者の権限
AWSマネージドルール AmazonAthenaFullAccess
(basic)
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"glue:GetTable",
"glue:GetTables",
"glue:SearchTables",
"glue:GetDatabase",
"glue:GetDatabases",
"glue:GetPartitions"
],
"Resource": "*"
}
]
}

ワークフローロールの権限
AWSマネージドルール AWSGlueServiceRole
(data access)
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Lakeformation",
"Effect": "Allow",
"Action": [
"lakeformation:GrantPermissions"
],
"Resource": "*"
}
]
}
(pass role)
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"iam:PassRole"
],
"Resource": [
]
}
]
}
(for ingesting the data
lake, for example
CloudTrail logs)
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": ["s3:GetObject", "s3:ListBucket"],
"Resource": ["arn:aws:s3:::your-s3-cloudtrail-bucket/*"]
}
]
} https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/permissions-reference.html

許可を与えるシナリオの例
シャーリーはデータレイク管理者です。彼女は、会社である AnyCompany の
データレイクをセットアップしたいと考えています。現在、すべてのデータは
S3 に保存されています。ジョンはマーケティングマネージャーで、顧客の購入
情報(s3://customerPurchases)への書き込みアクセスが必要です。この夏マー
ケティングアナリストのディエゴが加わります。ジョンには、シャーリーが関与
することなくデータに対してクエリを実行するためのディエゴへのアクセスを許
可することが必要です
ペルソナ担当者
データレイク管理者シャーリー
データエンジニアジョン
データ分析者ディエゴ
https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/security-permissions-example-scenario.html

③ データベースを作成する許可をジョンに与えます。
Lake Formation
シャーリー
デ
ー
タ
レ
イ
ク
管
理
者
デ
ー
タ
分
析
者
デ
ー
タ
エ
ン
ジ
ニ
ア
① 顧客の購入情報を含む S3 パスを Lake Formation に登録します。
② 顧客の購入情報を含む S3 パスへのアクセスをジョンに許可します。
ジョン
①
② ③
S3://xxx/yyy/
登録
GrantPermissions(John,
S3Location("s3://xxx/yyy/"),
[DATA_LOCATION_ACCESS]) )
許可
GrantPermissions(John, catalog,
[CREATE_DATABASE])

② s3://xxx/yyy/ を指すテーブル John_Table を作成します。
ジョンはテーブルを作成したため、このテーブルに対する全て
の権限を持ちます(暗黙的な許可)。
デ
ー
タ
レ
イ
ク
管
理
者
デ
ー
タ
分
析
者
デ
ー
タ
エ
ン
ジ
ニ
ア
ジョン
① データベース John_DB を作成します。ジョンはデータベースを作成し
たため、自動的にそのデータベースに対する CREATE_TABLE 権限を持ち
ます(暗黙的な許可)。
Lake Formation
① ②
③
③ アナリストのディエゴに、テーブル John_Table にアクセス
する許可を与えます。
John_DB
データベース
テーブル
John_Table
許可
GrantPermissions(Diego, John_Table,
[SELECT])
ディエゴ

自動化
CloudFormation では以下のようなテンプレートでスタック
を作成することで、Lake Formation の管理者設定が可能です。
https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/AWS_LakeFormation.html
{
"AWSTemplateFormatVersion": "2010-09-09",
"Resources": {
"LFDLS4VYBJ": {
"Type": "AWS::LakeFormation::DataLakeSettings",
"Properties": {
"Admins":[{
"DataLakePrincipalIdentifier": "arn:aws:iam::xxxxxxxxxxxx:user/uehara"
}]
}
}
}
}
CloudFormation や AWS CLI で Lake Formation のアクセス許可操作を自動化できます。
• CloudFormation • AWS CLI

自動化 {
"DataLakeSettings": {
"DataLakeAdmins": [
{
"DataLakePrincipalIdentifier":
"arn:aws:iam::xxxxxxxxxxxx:user/uehara"
}
],
"CreateDatabaseDefaultPermissions": [
{
"Principal": {
"DataLakePrincipalIdentifier": "EVERYONE"
},
"Permissions": [
"ALL"
]
}
],
"CreateTableDefaultPermissions": [
{
"Principal": {
},
"Permissions": [
"ALL"
]
}
]
}
}
• AWS CLI では以下のように管理者設定の反映が可能です。
https://docs.aws.amazon.com/cli/latest/reference/lakeformation/index.html#cli-aws-lakeformation
$ aws lakeformation put-data-lake-settings --cli-input-json file://lfadmin.json
$ aws lakeformation get-data-lake-settings
{
"DataLakeSettings": {
"DataLakeAdmins": [
{
"DataLakePrincipalIdentifier": "arn:aws:iam::xxxxxxxxxxxx:user/uehara"
}
],
"CreateDatabaseDefaultPermissions": [
{
"Principal": {
},
"Permissions": [
"ALL"
]
}
],
"CreateTableDefaultPermissions": [
{
"Principal": {
},
"Permissions": [
"ALL"
]
}
]
}
}
lfadmin.json
• AWS CLI では以下のように管理者設定の内容をgetする
ことが可能です。

ニアリアルタイム監査とモニタリング
CloudTrail を有効化しておくことで、Lake Formation のコンソールでデータアク
セスを監査できます。[View Event] でどのユーザーまたはロールがどのデータに
どのサービスでアクセスしたかなどの詳細を確認できます。

データカタログ機能

Lake Formation データカタログ
Apache Hive メタストアで行うのと同じ方法で、AWS でメタデータを保存、注
釈付け、共有できるマネージドサービスです。
データベースA
テーブル
データカタログ
データベースB
テーブル3
テーブル1
• テーブル情報
ロケーション：s3://xxx/yyy
• テーブルプロパティ
env:research
• テーブルスキーマ
• パーティション
テーブル2
1. データカタログ
• Glue データカタログと統合
• Apache Hive メタストア互換
2. 同一 AWS アカウント内で共有可
能な統合リポジトリ
3. データベースはテーブルの
集合体
4. テーブルはデータのスキーマ情報、
ロケーションなどのメタデータを
保管
・・・
・・・

メタデータの構成例
テーブル情報
テーブルプロパティ
テーブルスキーマ
テーブルパーティション

データカタログの検索
• Resource Attributes 検索
Classification(例えばPARQUET),
Database(例えばDatabaseA), Location(例
えばs3),Name(テーブル名で例えばTableA)
• キーワード検索
データベース名、テーブル名、列名、
Description などのメタデータをキーワード
検索
• 複数のフィルタ検索
上記のいくつかを組み合わせて検索
 Classification を PARQUET、Location を s3、Keyword を
accountnumber(列名) で複数フィルタ検索
 Classification を PARQUETで検索
Lake Formation では、テキストベースのファセット検索を全メタデータに対して行えるため、分析に
利用可能なデータセットのカタログにセルフサービスでアクセスできます。
※複数のキーワードは組み合わせられない

タグを設定
• テーブル datalakejdbc_dblf_person
のテーブルプロパティに env:research
を追加
• テーブル datalakejdbc_dblf_person
のカラム storeid とテーブル
test_person のカラム storecode に、
カラムプロパティ storeidenv:dev を
追加
 カラムプロパティ (テーブル datalakejdbc_dblf_person の
storied 、テーブル test_person の storecode )
 テーブルプロパティ (テーブル datalakejdbc_dblf_person)
ビジネス固有の属性をテーブルプロパティ
やカラムプロパティとして追加できます。

タグによる検索
 テーブル datalakejdbc_dblf_person (テーブルプロパティ env:research)
 テーブル datalakejdbc_dblf_person (storeidカラムプロパティ storeidenv:dev)
 テーブル test_person (storecodeカラムプロパティ storeidenv:dev)
追加したビジネス固有の属性(テーブルプロパティやカラムプロパティ)で検索できます。
マーケティングやリサーチャーなどデータを扱いたい人が欲しいデータを探しやすくな
ります。
• テーブルプロパティで
“env:research”で検索。
datalakejdbc_dblf_person がヒット
• カラムプロパティ
で”storeidenv:dev”による検索。
test_person,
datalakejdbc_dblf_person の2つの
テーブルがヒット

データカタログのアクセス許可モデルの移行
Lake Formation により広範な IAM を使ったアクセス制御を簡
単に設定することが出来ます。これに対して Glue のアクセス許
可モデルは IAM を介してアクセスを許可します。
従来から Glue をご利用頂いているお客様は Lake Formation
のアクセス許可モデルへの移行が必要になります。

IAMAllowedPrincipals
Lake Formation は、既存の Glue データカタログ
との互換性のために有効化された”grant All to
IAMAllowedPrincipals”で利用を開始します。これ
には、既存の Glue アクセス許可を引き続き有効に
するデフォルトのアクセス許可が含まれています。
これは「All to IAMAllowedPrincipals」と呼ばれる
特別な許可を介して行われます。
Lake Formation 権限の使用に移行した後、この設
定を無効にすることをお勧めします。

データカタログのアクセス許可モデルの移行
• Step1：既存のアクセス許可を確認
• Step2：Lake Formation でこれらの権限を作成
• Step3：IAM ユーザーに Lake Formation のアクセス許可を付与
• Step4：データストアを Lake Formation アクセス許可モデルに切り替える
• Step5：IAM ユーザーに新しい追加の IAM ポリシーを付与
• Step6：IAM ポリシーをクリーンアップ
https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/upgrade-glue-lake-formation.html
公式ドキュメントによる手順

ブループリント機能

ブループリントとは
２種類のブループリント（2019/10/01時点） ※ブループリントは随時追加予定
• データベース用ブループリント
• MySQL、PostgreSQL、
Oracle、SQL Server からの
データの取込み
• ログファイル用ブループリント
• 以下の AWS 主要ログの取込み
– AWS CloudTrail
– Application Load Balancer
– Classic Load Balancer
バルクロード or 増分ロード
ブループリントは、データレイクにデータを簡単に取込むことを実現する「データ管理のテンプレー
ト」です。汎用的なユースケースのブループリントを複数用意しています。

ブループリントとは
ブループリント上で必要なパラメータを入力し Lake Formation のワークフローを作成することで、
Glue のトリガー、ワークフロー、クローラー、ジョブを自動で生成します。
“Database snapshot” の例 “AWS CloudTrail” の例

データレイク
ストレージ
データ
カタログ
アクセス
制御
データ
インポート
AWS Lake
Formation
クロー
ラー
機械学習
ベースの
データ前処理
ブループリントによるデータレイクへの容易なデータロード
ログ
データ
ベース
ブループリント
バルクロード
インクリメンタルロード
Amazon
RDS
Amazon Aurora
AWS
CloudTrail
Amazon
S3
Classic Load
Balancer
Application Load
Balancer

ワークフロー：ブループリントから作成される処理フロー
ブループリントを使い作成された Lake Formation のワークフローは、[Start] で実行することがで
きます。ワークフローの画面では実行履歴の確認や [View graph] でワークフローの詳細を確認する
ことができます。

ワークフローグラフの表示
Lake Formation のワークフローの実態は、Lake Formation のブループリントから生成される一連の
Glue ジョブ、クローラー、トリガーの定義セットである Glue ワークフローです。ワークフローに
よって複雑な ETL ジョブアクティビティを隠蔽し、下記のようなワークフローグラフにより進捗を可
視化することが可能です。
ワークフロー：ブループリントから作成される処理フロー

ユースケース：Database snapshot のブループリント
Database snapshot のブループリントを使うと、RDB のデータを分析に適したパーティションの最
適化やフォーマット(parquetなど)変換を行い S3 に出力し Athena 等で分析が行えます。ブループリ
ントに必要なパラメータを入力し、作成された Lake Formation のワークフローを実行することで
データセットやテーブルの作成は完了します。
Database snapshot のブループリント
によりワークフロー作成
ワークフローの進捗状況
ワークフロー実行

利用者は見たいテーブルを簡単に探せます。テーブルにテーブルプロパティをキー:バリュー (例、
env:research)で設定しておくことで、利用者が env:research で検索し閲覧権限のある該当のテー
ブルを見つけることができます。

該当のテーブルにチェックを入れ、[Actions] から [View data] をクリックします。

Athena の画面に遷移し Athena で分析を行うことができます。

ユーザーごとに列レベルの制御を行い、アクセスできる列を絞ることで特定のユーザーに見せるデー
タを制御することも可能です。
以下の例は datalake_analytist というユーザーに date と name の列のみ select を許可しています。

該当のテーブルの [Verify permissions] で datalake_analytist に与えられている権限を確認する
ことができます。date と name の列のみ select が許可されていることがわかります。

落ち穂拾い

Lake Formation と Glue の関係
• Lake Formation は Glue の拡張機能であり、Glue に大きく依存して
います。
• Lake Formation は Glue とデータカタログを共有しています。
• Lake Formation のジョブとクローラーは Glue のジョブとクロー
ラーを呼び出します。
• Lake Formation のブループリントで生成されるワークフローは Glue
のワークフローです。Lake Formation と Glue の両方でワークフ
ローの表示と管理ができます。
Glue は抽出、変換、ロード (ETL) を行うジョブとデータカタロ
グを持つマネージドサービスです。
https://www.slideshare.net/AmazonWebServicesJapan/20190806-aws-black-belt-online-seminar-aws-glue

初めてデータレイク管理者を作成する
任意の IAM 管理ユーザーとしてサインインします。①または②を行った後③を実行します。
① Lake Formation に初めてアクセスするとウェルカムメッセージが表示されます。この画面
で [Add administrator]を選択します。
② ナビゲーションペインで、[Admins and database creators]を選択します。次に、”Data
lake administrators”で、[Grant]を選択します。
③ [Manage data lake administrators]ダイアログボックスの”IAM users and roles”
で、データレイク管理者になるユーザーを選択し、[Save]を選択します。
https://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/getting-started-setup.html
①
②
③

料金

AWS Lake Formation 費用
AWS Lake Formation 自体の利用は無償
配下で活用するサービスに
かかる費用のみのお支払い

料金
例として、ブループリント”Database snapshot”をデフォルト設定で RDS から200MBのテーブルを
S3 にロードし、Athena で100回フルスキャンクエリを利用した場合
• Glue クローラー1つを数分実行
最小時間の10分の料金： $0.44 / 6 = $0.0734
• Glue Spark ジョブ 5つを数分実行
最小時間の10分の料金*５ジョブ： ($0.44 / 6)*5 = $0.367
• Glue Python Shell ジョブ5つを数秒実行
最小時間の1分の料金*５ジョブ： ($0.44 / 60)*5 = $0.0367
• S3 に200MBのファイルを保存
1GBあたり$0.025なので200MB換算： $0.005
• Athena で100回フルスキャンクエリを実行
１TBで$5なので、0.0002TB(200MB)を掛けて回数100を掛ける：($5 * 0.0002)*100 = $0.1
 合計で$ 0.5821
※本日時点の東京リージョンの料金の例です。正確には公式の料金のページを確認ください
※実際の処理時間はデータの内容により変わります
※Glue データカタログ、S3 のリクエスト料金は少額なので割愛しています
※Lake Formation によって作成されるリソースの数や内容は今後変更される可能性はあります
https://aws.amazon.com/jp/athena/pricing/
https://aws.amazon.com/jp/s3/pricing/
https://aws.amazon.com/jp/glue/pricing/

まとめ

AWS Lake Formation まとめ
• ブループリントと呼ばれる汎用的なデータ取込み処理のテンプレート化
• Glue のワークフロー、クローラー、ジョブと連携
• データのアクセス権限管理をシンプルに直感的に設定可能
• データカタログのデータベース、テーブル、列に対して、Grant/Revoke 設定
• メタデータ、S3 のデータレイクストアへのアクセス制御の一元管理
• Athena、Redshift Spectrum、EMR(今後予定)からのアクセスを容易に
• 既存の Glue データカタログからは移行が必要
• Lake Formation 自体の費用は無償
• 配下で使用するサービスの費用のみ

参考資料
AWS Lake Formation ホームページ
https://aws.amazon.com/jp/lake-formation/
AWS Lake Formation ドキュメンテーション (開発者ガイド)
https://docs.aws.amazon.com/ja_jp/lake-formation/
AWS Lake Formation FAQ
https://aws.amazon.com/jp/lake-formation/faqs/
https://aws.amazon.com/jp/big-data/datalakes-and-analytics/what-is-a-data-lake/
AWS Lake Formation API
https://docs.aws.amazon.com/lake-formation/latest/dg/aws-lake-formation-api.html
CLI Command Reference
https://docs.aws.amazon.com/cli/latest/reference/lakeformation/index.html#cli-aws-lakeformation
Cloud Formation Lake Formation Resource Type Reference
https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/AWS_LakeFormation.html

参考資料(公式ブログ)
AWS Lake Formation の開始方法
https://aws.amazon.com/jp/blogs/news/getting-started-with-aws-lake-formation/
AWS Lake Formation でデータレイクを構築、保護、管理
https://aws.amazon.com/jp/blogs/news/building-securing-and-managing-data-lakes-with-aws-lake-
formation/
AWS Lake Formation でメタデータを見つける: パート 1
https://aws.amazon.com/jp/blogs/news/discovering-metadata-with-aws-lake-formation-part-1/
AWS Lake Formation でメタデータを見つける: パート 2
https://aws.amazon.com/jp/blogs/news/discover-metadata-with-aws-lake-formation-part-2/
AWS Lake Formation FindMatches を使用してデータセットの統合および重複の削除を実施
https://aws.amazon.com/jp/blogs/news/integrate-and-deduplicate-datasets-using-aws-lake-formation-
findmatches/

Q&A
お答えできなかったご質問については
AWS Japan Blog 「https://aws.amazon.com/jp/blogs/news/」にて
資料公開と併せて、後日掲載します。

AWS の日本語資料の場所「AWS 資料」で検索
https://amzn.to/JPArchive

ご視聴ありがとうございました

20191001 AWS Black Belt Online Seminar AWS Lake Formation

More Related Content

What's hot (20)

Similar to 20191001 AWS Black Belt Online Seminar AWS Lake Formation (11)

More from Amazon Web Services Japan (20)

Recently uploaded (20)

20191001 AWS Black Belt Online Seminar AWS Lake Formation