Un'azienda utilizza Amazon Athena per query ad-hoc su dati S3 e ha bisogno di separare l'esecuzione delle query e l'accesso alla cronologia tra utenti, team e applicazioni nello stesso account AWS. Quale soluzione impone questi confini di autorizzazione?

La soluzione corretta è creare un workgroup Athena per ogni caso d'uso, applicare tag al workgroup e creare una policy IAM che utilizzi i tag per applicare le autorizzazioni appropriate. I workgroup di Athena sono progettati specificamente per isolare l'esecuzione delle query, la cronologia e i costi tra diversi utenti, team o applicazioni. Le policy IAM basate su tag consentono un controllo granulare degli accessi ai workgroup, garantendo che solo gli utenti autorizzati possano interagire con specifici workgroup e i dati ad essi associati. Creare un bucket S3 per ogni caso d'uso non isola l'esecuzione delle query o la cronologia in Athena, ma solo l'accesso ai dati sottostanti. Creare un ruolo IAM per ogni caso d'uso non fornisce l'isolamento nativo dei workgroup di Athena. Una policy di risorsa AWS Glue Data Catalog controlla l'accesso ai metadati delle tabelle, non l'esecuzione delle query o la cronologia in Athena.