Amazon Redshift 透過聯合權限簡化安全日誌的存取

張貼日期: 2026年9月30日

Amazon Redshift 現在可讓您更輕鬆地對受聯合權限與精細存取控制 (FGAC) 保護的資料，進行查詢的故障排除和稽核。使用新的 DEBUG 權限，資料擁有者可以讓特定身分查看多個 Redshift 資料倉儲中未經遮蔽的安全日誌紀錄。

使用 Amazon Redshift 聯合權限，您只需定義一次資料權限，Redshift 就會在您 AWS 帳戶中的每個 Redshift 資料倉儲自動強制執行這些權限。當查詢存取受 FGAC 保護的資料時，安全日誌會遮蔽系統表格紀錄中的敏感性值，例如重寫的查詢文字、錯誤訊息和物件名稱。這可保護生產者的資料不受取用者存取。同時，獲授權的稽核人員和管理員需要查看這些紀錄，以便對查詢進行故障排除並符合合規要求，而無需關閉安全日誌。

使用新的 DEBUG 權限，超級使用者或資料庫擁有者可以選擇哪些身分可以查看這些未經遮蔽的紀錄。您可以使用標準的 Redshift GRANT 命令授予 DEBUG，通常授予 IAM 使用者、IAM 角色或 IAM Identity Center 使用者或群組，讓該身分可以查看其自身查詢的未經遮蔽紀錄。您也可以將 DEBUG 授予取用者帳戶的管理員，以便在故障排除和稽核期間查看完整的日誌。當您將 Redshift 系統表格資料匯出至 Amazon S3 Tables 時，授權給帳戶管理員的紀錄也會保持未遮蔽。您可以精確且可稽核地控制誰可以查看日誌，同時讓安全日誌保持開啟。

此功能適用於所有支援 Amazon Redshift 的 AWS 區域。若要深入瞭解，請參閱 Amazon Redshift 文件中的聯合權限、使用須知和安全日誌。