Une entreprise utilise AWS Lake Formation pour gérer un lac de données contenant des données structurées et non structurées. Des ingénieurs ML sont affectés à des campagnes publicitaires spécifiques et doivent interroger des données avec Amazon Athena et parcourir des objets directement dans S3. Chaque ingénieur ne doit accéder qu'aux ressources de ses campagnes attribuées. Quelle est la solution la plus efficace sur le plan opérationnel pour appliquer un accès basé sur les campagnes ?

La solution la plus efficace sur le plan opérationnel est d'utiliser AWS Lake Formation avec des balises. Lake Formation est conçu pour gérer les autorisations granulaires sur les lacs de données, y compris les données dans S3 et les métadonnées dans AWS Glue Data Catalog. En utilisant les balises Lake Formation, vous pouvez définir des politiques d'accès basées sur des attributs (ABAC) qui mappent les ingénieurs ML à leurs campagnes. Lake Formation gérera ensuite l'application de ces politiques pour les requêtes Athena et l'accès direct à S3, simplifiant ainsi la gestion des autorisations. Les politiques IAM sur le Data Catalog ne gèrent pas l'accès direct à S3. L'utilisation de DynamoDB Streams avec Lambda pour mettre à jour les politiques de compartiment S3 est complexe et difficile à maintenir. Les politiques de compartiment S3 seules ne permettent pas une gestion granulaire basée sur les utilisateurs et les campagnes de manière centralisée et évolutive comme Lake Formation.