Firma używa AWS Lake Formation do zarządzania jeziorem danych zawierającym dane strukturalne i niestrukturalne. Inżynierowie ML są przypisani do konkretnych kampanii reklamowych i muszą wykonywać zapytania do danych za pomocą Amazon Athena oraz przeglądać obiekty bezpośrednio w S3. Każdy inżynier musi mieć dostęp tylko do zasobów dla przypisanych mu kampanii. Jakie jest najbardziej efektywne operacyjnie rozwiązanie do egzekwowania dostępu opartego na kampaniach?

Poprawna odpowiedź to użycie Lake Formation do autoryzacji dostępu AWS Glue do bucketów S3 i zastosowanie tagów Lake Formation, które mapują inżynierów ML do ich kampanii. Lake Formation jest zaprojektowane do zarządzania uprawnieniami w jeziorach danych, w tym do danych w S3 i metadanych w AWS Glue Data Catalog. Umożliwia ono szczegółowe kontrolowanie dostępu do tabel, kolumn, a nawet wierszy, co jest idealne do egzekwowania dostępu opartego na kampaniach przy użyciu tagów. Inżynierowie ML mogą następnie używać Athena do wykonywania zapytań i przeglądać obiekty bezpośrednio w S3, z uprawnieniami egzekwowanymi przez Lake Formation. Pozostałe opcje są mniej efektywne operacyjnie lub nie zapewniają kompleksowego rozwiązania: Zastosowanie polityk IAM w AWS Glue Data Catalog ogranicza dostęp tylko do metadanych, a nie do samych danych w S3. Przechowywanie użytkowników i mapowań kampanii w DynamoDB z funkcją Lambda do aktualizacji polityk bucketów S3 jest skomplikowane i wymaga ręcznego zarządzania politykami, co jest trudne do skalowania. Ustawienie polityk bucketów S3 ogranicza dostęp tylko na poziomie bucketów lub prefiksów, co jest mniej szczegółowe niż kontrola dostępu w Lake Formation i nie obejmuje metadanych Glue Data Catalog.