Un'azienda utilizza AWS Lake Formation per gestire un data lake contenente dati strutturati e non strutturati. Gli ingegneri ML sono assegnati a specifiche campagne pubblicitarie e devono interrogare i dati con Amazon Athena e sfogliare gli oggetti direttamente in S3. Ogni ingegnere deve accedere solo alle risorse per le campagne a cui è assegnato. Qual è la soluzione più efficiente dal punto di vista operativo per applicare l'accesso basato sulla campagna?

La soluzione corretta sfrutta le capacità di Lake Formation per la gestione granulare degli accessi. Lake Formation consente di definire autorizzazioni a livello di tabella, colonna e riga nel Data Catalog di AWS Glue, che Athena utilizza per interrogare i dati. Applicando i tag di Lake Formation agli ingegneri ML e alle risorse dati (tabelle/colonne) associate a specifiche campagne, si garantisce che ogni ingegnere possa accedere solo ai dati pertinenti. Questo è operativamente efficiente perché centralizza la gestione degli accessi e la sincronizza automaticamente con le query di Athena e la navigazione diretta in S3, poiché Lake Formation gestisce le autorizzazioni sottostanti per S3. Le altre opzioni sono meno efficienti o inadeguate: Le policy IAM su AWS Glue Data Catalog possono diventare complesse e difficili da gestire su larga scala, specialmente per accessi granulari a livello di campagna. L'uso di DynamoDB Streams e Lambda per aggiornare le policy dei bucket S3 è un approccio complesso e meno gestibile per un controllo degli accessi dinamico e granulare rispetto a Lake Formation. Impostare policy sui bucket S3 per limitare l'accesso per campagna può essere macchinoso e non offre la granularità a livello di tabella/colonna fornita da Lake Formation, né si integra direttamente con Athena per le query sui metadati.