Amazon Redshift Data API

Amazon Redshift Data API について

Data API は、JDBC シェルを使用せずにステートメント、データベース、スキーマ、テーブルの一覧を公開します。Iru には、redshift-data: の読み取りアクションに加えて、プロビジョニングされたクラスター用の redshift:DescribeClusters と、ワークグループが対象となる場合の補助的な redshift-serverless:List* が必要です。AmazonRedshiftDataFullAccess は便利ですが、ExecuteStatement が含まれます。最小権限のためには、以下のインラインポリシーを推奨します。

仕組み

Iru は独自の AWS アカウントで稼働しています。お客様に代わって Redshift Data API を呼び出すには、お客様の AWS アカウントに 2 つの要素を持つ IAM ロールを作成します。1 つは、ウィザードの External ID を条件として Iru のプリンシパルが sts:AssumeRole を呼び出すことを許可する信頼ポリシー、もう 1 つは読み取り専用の redshift-data: アクション(および AWS タブのインラインの例にあるように、コネクタが必要とする補助的な redshift: / redshift-serverless: の呼び出し)を含む権限ポリシーです。その後、ロールの ARN を Iru に貼り付けます。

項目	値
カテゴリ	データベース
認証	クロスアカウント IAM ロール

前提条件

Redshift のリソースを所有するアカウントでロールを作成できる IAM 権限。

Amazon Redshift Data を Iru に接続する

Iru Compliance
AWS

まずここから始めます。ソースのウィザードを開き、信頼ポリシーをコピーします(外部 ID も控えておきます)。AWS でロールを作成する準備ができたら、AWS タブに切り替えて IAM ロールを作成するの手順に従います。Role ARN を取得したら、Iru Compliance タブに戻り、以下の Iru でロール ARN を送信するを完了します。

Iru から信頼ポリシーを取得する

ソースを開く

Iru Compliance の左側のナビゲーションバーで コンプライアンス を展開し、ソース を選択します。

左側のナビゲーション: Compliance を展開し、Sources を選択した状態

Amazon Redshift Data をオンにする

Amazon Redshift Data を探します(カテゴリ または 名前または説明で検索 を使用します)。そのカードのトグルをオンにします。Iru が外部サービスへのアクセスをリクエストしています のウィザードのタブは開いたままにしておきます。

信頼ポリシーの JSON をコピーする

ウィザードには、IAM ロールで使用する必要がある信頼ポリシーの JSON(Principal と sts:ExternalId)が表示されます。以下は構造の例です。アカウント、プリンシパル ARN、外部 ID が正確に一致するように、ウィザードに表示される最新の JSON をコピーしてください。

copy=false

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::753695775620:role/IruConnect"
      },
      "Condition": {
        "StringEquals": {
          "sts:ExternalId": "YOUR_EXTERNAL_ID"
        }
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

AWS に切り替えてロールを作成する

参照用に Iru ウィザードのタブを開いたまま、AWS タブに切り替えて IAM ロールを作成するの手順に従います。

Iru でロール ARN を送信する

新しいロールの Role ARN を取得するため、先に AWS タブ(IAM ロールを作成するまで)を完了してください。

IAM Role ARN を貼り付ける

Iru ウィザードのタブに戻ります。コネクタで求められる場所に Role ARN を貼り付けます。

接続を完了する

Submit Role を選択します。接続が成功すると、ウィザードに 接続が構成されました と表示されます。

ソースが有効であることを確認する

Iru が外部サービスへのアクセスをリクエストしています のブラウザタブを閉じてから、コンプライアンス → ソース に戻り、Amazon Redshift Data のカードが有効であることを確認します。

このロールを作成する前に、Iru Compliance タブの Iru から信頼ポリシーを取得するを完了してください。Trusted entity を設定する際は、最新のウィザードに表示される外部 ID と信頼ポリシーを使用します。

IAM ロールを作成する

ロール作成のワークフローを開始する

IAM → Roles → Create role を開きます。

信頼されたエンティティを設定する

AWS account → Another AWS account を選択します。753695775620(または Iru に表示される ID)を入力します。Require external ID を有効にし、Iru からコピーした外部 ID を貼り付けます。

推奨のインラインポリシーをアタッチする

インラインポリシーをアタッチします(最小権限のため、AmazonRedshiftDataFullAccess よりも推奨されます)。以下の JSON は権限の構成の例です。セキュリティチームがアクションの削減を求める場合は調整してください。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "redshift-data:DescribeStatement",
        "redshift-data:DescribeTable",
        "redshift-data:GetStatementResult",
        "redshift-data:ListDatabases",
        "redshift-data:ListSchemas",
        "redshift-data:ListStatements",
        "redshift-data:ListTables"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "redshift:DescribeClusters",
        "redshift-serverless:ListNamespaces",
        "redshift-serverless:ListWorkgroups"
      ],
      "Resource": "*"
    }
  ]
}

ロールに名前を付けて ARN をコピーする

ロールに名前を付けて作成し、Role ARN をコピーします。Iru Compliance タブに戻り、Iru でロール ARN を送信するを完了します。

Iru Compliance タブに進み、Role ARN を貼り付けてウィザードを完了します(Iru でロール ARN を送信する)。

トラブルシューティング

ソースをオンにしても何も開かない

Iru サイトのポップアップブロッカーの設定を確認してから、再試行してください。

DescribeClusters が拒否される

クラスター ID の解決に必要です。redshift: のステートメントブロックを追加してください。

Serverless の欠落

Amazon Redshift Serverless に従って、redshift-serverless:Get* を追加してください。

AssumeRole が拒否される

外部 ID が一致していません。

AWS Redshift

Compliance で関連するソースを接続して管理します。

Amazon Redshift Serverless

Compliance で関連するソースを接続して管理します。

ソース管理

すべての Compliance ソースを参照して管理します。

コンプライアンスの開始

フレームワーク、アクション、アーティファクト。

はじめに

アクション

フレームワーク

アーティファクト

ソース

ポリシー

トラストセンター

ワークフロー

Amazon Redshift Data API