Amazon Redshift、フェデレーティッドアクセス許可を使用したセキュアロギングへのアクセスが容易に
Amazon Redshift では、きめ細かなアクセスコントロール (FGAC) を使用したフェデレーティッドアクセス許可によって保護されているデータについて、クエリのトラブルシューティングと監査が容易になりました。データ所有者は、新しい DEBUG アクセス許可を使用することで、複数の Redshift データウェアハウスにわたって、リダクションされていないセキュアロギングのレコードを表示できるアイデンティティを指定できます。
Amazon Redshift のフェデレーティッドアクセス許可では、データに対して一度定義したアクセス許可が、AWS アカウント内のすべての Redshift ウェアハウスに自動適用されます。クエリで FGAC によって保護されたデータにアクセスすると、書き換えられたクエリテキスト、エラーメッセージ、オブジェクト名など、システムテーブルのレコードに含まれる機密性の高い値がセキュアロギングによってリダクションされます。これにより、プロデューサーのデータをコンシューマーから保護できます。一方、権限を付与された監査担当者や管理者は、クエリのトラブルシューティングやコンプライアンス要件への対応のために、セキュアロギングを無効にすることなく、これらのレコードを確認する必要があります。
スーパーユーザーまたはデータベース所有者は、新しい DEBUG アクセス許可を使用して、これらのレコードをリダクションなしで表示できるアイデンティティを指定できます。DEBUG は、標準の Redshift GRANT コマンドを使用して付与します。通常、IAM ユーザー、IAM ロール、または IAM アイデンティティセンターのユーザーやグループに付与すると、そのアイデンティティは、自身のクエリに関するリダクションされていないレコードを確認できます。また、コンシューマーアカウントの管理者に DEBUG を付与すれば、トラブルシューティングや監査の際にログ全体を確認できます。アカウント管理者に表示が許可されているレコードは、Redshift のシステムテーブルデータを Amazon S3 Tables にエクスポートする場合も、リダクションされずに保持されます。これにより、ログを表示できるユーザーを正確かつ監査可能な方法で制御しながら、セキュアロギングを有効な状態に維持できます。
この機能は、Amazon Redshift がサポートされているすべての AWS リージョンで利用できます。詳細については、Amazon Redshift ドキュメントのフェデレーティッドアクセス許可、使用に関する注意事項、セキュアなログ記録を参照してください。