翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # ハイブリッドアクセスモードを使用して Lake Formation リソースを共有する 外部アカウントの新しい Data Catalog ユーザーが、既存の Lake Formation のクロスアカウント共有アクセス許可を中断することなく、IAM ベースのポリシーを使用して Data Catalog データベースとテーブルにアクセスできるようにします。 シナリオの説明 – プロデューサーアカウントには、アカウントレベルまたは IAM プリンシパルレベルで外部 (コンシューマー) アカウントと共有される Lake Formation 管理データベースとテーブルがあります。データベースのデータロケーションは、Lake Formation に登録されています。`IAMAllowedPrincipals` グループには、データベースとそのテーブルに対する `Super` 許可はありません。 **既存の Lake Formation 許可を中断することなく、IAM ベースのポリシーを介して新しい Data Catalog ユーザーにクロスアカウントアクセスを許可する** 1. **プロデューサーアカウントの設定** 1. `lakeformation:PutDataLakeSettings` を持つロールを使用して Lake Formation コンソールにサインインします。 1. **[データカタログの設定]** ページの **[クロスアカウントバージョン設定]** で、[`Version 4`] を選択します。 現在バージョン 1 または 2 を使用している場合は、バージョン 3 への更新について、「[クロスアカウントデータ共有のバージョン設定の更新](optimize-ram.md)」の手順を参照してください。 バージョン 3 から 4 へのアップグレードには、アクセス許可ポリシーの変更は必要ありません。 1. データベースとテーブルでプリンシパルに付与したアクセス許可を一覧表示します。詳細については、「[Lake Formation でのデータベースとテーブル許可の表示](viewing-permissions.md)」を参照してください。 1. プリンシパルとリソースをオプトインすることで、既存の Lake Formation のクロスアカウントアクセス許可を再付与します。 **注記** データロケーション登録をハイブリッドアクセスモードに更新してクロスアカウントアクセス許可を付与する前に、アカウントごとに少なくとも 1 つのクロスアカウントデータ共有を再付与する必要があります。このステップは、 AWS RAM リソース共有にアタッチされた AWS RAM 管理アクセス許可を更新するために必要です。 2023 年 7 月、Lake Formation はデータベースとテーブルの共有に使用される AWS RAM マネージドアクセス許可を更新しました。 `arn:aws:ram::aws:permission/AWSRAMLFEnabledGlueAllTablesReadWriteForDatabase` (データベースレベルの共有ポリシー) `arn:aws:ram::aws:permission/AWSRAMLFEnabledGlueTableReadWrite` (テーブルレベルの共有ポリシー) 2023 年 7 月より前に行われたクロスアカウントアクセス許可の付与には、これらの更新された AWS RAM アクセス許可はありません。 クロスアカウントアクセス許可をプリンシパルに直接付与した場合は、それらのアクセス許可を個別にプリンシパルに再付与する必要があります。このステップをスキップすると、共有リソースにアクセスするプリンシパルに不正な組み合わせエラーが発生する可能性があります。 1. [https://console.aws.amazon.com/ram/home](https://console.aws.amazon.com/ram/home) に移動します。 1. AWS RAM コンソールの **Shared by me** タブには、外部アカウントまたはプリンシパルと共有したデータベースとテーブル名が表示されます。 共有リソースにアタッチされたアクセス許可に、正しい ARN があることを確認します。 1. AWS RAM 共有内のリソースのステータスが であることを確認します`Associated`。ステータスが `Associating` と表示される場合は、`Associated` 状態になるまで待ちます。ステータスが `Failed` になった場合は、停止して Lake Formation サービスチームにご連絡ください。 1. 左側のナビゲーションバーの **[アクセス許可]** で **[ハイブリッドアクセスモード]** を選択し、**[追加]** を選択します。 1. **[プリンシパルとリソースの追加]** ページには、アクセス権のあるデータベース、テーブル、またはその両方とプリンシパルが表示されます。プリンシパルとリソースを追加または削除することで、必要な更新を行うことができます。 1. ハイブリッドアクセスモードに変更するデータベースとテーブルの Lake Formation 許可を持つプリンシパルを選択します。データベースとテーブルを選択します。 1. ハイブリッドアクセスモードで Lake Formation 許可を適用するようにプリンシパルをオプトインするには、**[追加]** を選択します。 1. データベースと選択したテーブルの仮想グループ `IAMAllowedPrincipals` に `Super` 許可を付与します。 1. Amazon S3 ロケーションの Lake Formation 登録をハイブリッドアクセスモードに編集します。 1. Amazon S3 AWS Glue actions の IAM アクセス許可ポリシーを使用して、外部 (コンシューマー) アカウントの AWS Glue ユーザーにアクセス許可を付与します。 1. **コンシューマーアカウントの設定** 1. Lake Formation コンソール ([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/)) にデータレイク管理者としてサインインします。 1. [https://console.aws.amazon.com/ram/home](https://console.aws.amazon.com/ram/home) に移動し、リソース共有の招待を受け入れます。 AWS RAM ページの**リソース共有**タブには、アカウントと共有されているデータベース名とテーブル名が表示されます。 AWS RAM 共有の場合は、アタッチされたアクセス許可に共有 AWS RAM 招待の正しい ARN があることを確認します。 AWS RAM 共有内のリソースが `Associated`ステータスになっているかどうかを確認します。ステータスが `Associating` と表示される場合は、`Associated` 状態になるまで待ちます。ステータスが `Failed` になった場合は、停止して Lake Formation サービスチームにご連絡ください。 1. Lake Formation の共有データベースまたはテーブルへのリソースリンクを作成します。 1. リソースリンクの `Describe` 許可と (元の共有リソースの) `Grant on target` 許可を (コンシューマー) アカウントの IAM プリンシパルに付与します。 1. 次に、共有データベースまたはテーブルのアカウントのプリンシパルに Lake Formation 許可を設定します。 左側のナビゲーションバーの **[アクセス許可]** で、**[ハイブリッドアクセスモード]** を選択します。 1. **[ハイブリッドアクセスモード]** ページの下部にある **[追加]** を選択して、プリンシパルと、プロデューサーアカウントから共有されているデータベースまたはテーブルをオプトインします。 1. Amazon S3 AWS Glue actions の IAM アクセス許可ポリシーを使用して、アカウントの AWS Glue ユーザーにアクセス許可を付与します。 1. Athena を使用してテーブルで個別のサンプルクエリを実行して、ユーザーの Lake Formation のアクセス許可と AWS Glue アクセス許可をテストする (オプション) ハイブリッドアクセスモードになっているプリンシパルに対する Amazon S3 の IAM 許可ポリシーをクリーンアップします。