翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# Lake Formation アプリケーション統合の仕組み
<a name="how-vending-works"></a>

このセクションでは、アプリケーション統合 API 操作を使用してサードパーティアプリケーション (クエリエンジン) を Lake Formation と統合する方法について説明します。

![Lake Formation 管理者セットアップ、サービス認証情報リクエスト、 経由のユーザーアクセスを示すワークフロー AWS のサービス。](http://docs.aws.amazon.com/ja_jp/lake-formation/latest/dg/images/credential-vending-new.png)


1. Lake Formation 管理者が以下のアクティビティを実行します。
   + Amazon S3 ロケーション内のデータにアクセスするための適切な許可を持つ IAM ロール (認証情報の供給用) を提供することで、Amazon S3 ロケーションを Lake Formation に登録する。
   + Lake Formation の認証情報供給 API 操作を呼び出すことができるようにサードパーティーアプリケーションを登録する。「[サードパーティークエリエンジンの登録](register-query-engine.md)」を参照してください。
   + データベースとテーブルにアクセスするための許可をユーザーに付与する。

     例えば、個人を特定できる情報 (PII) を示す複数の列が含まれているユーザーセッションデータセットを公開する場合、アクセスを制限するには、これらの列に [LF-TBAC](https://docs.aws.amazon.com/lake-formation/latest/dg/tag-based-access-control.html.html) タグを「classification」という名前および「sensitive」という値で割り当てます。次に、ユーザーセッションデータへのアクセス権をビジネスアナリストに付与するための許可を定義します。ただし、*classification = sensitive* がタグ付けされた列は除きます。

1. プリンシパル (ユーザー) が、統合されたサービスにクエリを送信します。

1. 統合されたアプリケーションが Lake Formation にリクエストを送信し、テーブル情報とテーブルにアクセスするための認証情報を要求します。

1. クエリを実行するプリンシパルにテーブルへのアクセスが認可されている場合は、Lake Formation から統合されたアプリケーションに認証情報を返し、データアクセスを許可します。
**注記**  
Lake Formation は、認証情報を提供するときに基盤のデータにアクセスしません。

1. 統合されたサービスが Amazon S3 からデータを読み取り、受け取ったポリシーに基づいて列をフィルタリングして、結果をプリンシパルに返します。

**重要**  
Lake Formation の認証情報供給 API 操作は、**失敗時における明示的な拒否 (フェイルクローズ) モデルを使用した分散型適用**を有効にします。これにより、顧客、サードパーティーサービス、Lake Formation の間に 3 パーティーセキュリティモデルが導入されます。統合されたサービスでは、Lake Formation 許可が適切に適用 (分散型適用) されます。

統合されたサービスは、Lake Formation から返されたポリシーに基づいて Amazon S3 からデータを読み取ってフィルタリングし、フィルタリングしたデータをユーザーに返す責任があります。統合されたサービスは、フェイルクローズモデルに従います。つまり、適切な Lake Formation 許可を適用できない場合はクエリを失敗させる必要があります。