Компания хранит таблицы с адресами клиентов в озере данных AWS Lake Formation. Новые правила запрещают пользователям доступ к строкам для клиентов, находящихся в Канаде. Какой подход предотвратит просмотр пользователями строк, где country = Canada, с НАИМЕНЬШИМИ административными усилиями?

Правильный ответ — установка фильтра на уровне строк. AWS Lake Formation позволяет создавать фильтры на уровне строк, которые динамически ограничивают доступ пользователей к данным на основе определенных условий, таких как country = 'Canada'. Это обеспечивает точный контроль доступа с минимальными административными усилиями, поскольку не требует изменения базовых данных или создания множества ролей. Создание роли IAM для ограничения доступа к адресу, где страна — Канада, не является оптимальным, так как IAM-политики обычно работают на уровне ресурсов (таблиц, баз данных), а не на уровне отдельных строк данных внутри таблицы. Установка фильтра на уровне столбцов не подходит, потому что задача состоит в ограничении доступа к строкам, а не к столбцам. Фильтр на уровне столбцов скрыл бы столбец "country", но не ограничил бы доступ к данным клиентов из Канады в других столбцах. Применение тегов ко всем строкам, где Канада является страной, и запрет доступа по тегу — это возможный подход, но он требует дополнительных усилий по тегированию данных и управлению этими тегами, что увеличивает административную нагрузку по сравнению с фильтрами на уровне строк.