기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다. # Lake Formation 모범 사례, 고려 사항 및 제한 사항 이 섹션을 통해 AWS Lake Formation에서 모범 사례, 고려 사항 및 제한 사항을 빠르게 찾을 수 있습니다. AWS 계정의 최대 서비스 리소스 또는 작업 수에 대해서는 [서비스 할당량](https://docs.aws.amazon.com/general/latest/gr/lake-formation.html#limits_lake-formation)을 참조하십시오. **Topics** + [ # 계정 간 데이터 공유 모범 사례 및 고려 사항 ](cross-account-notes.md) + [ # 서비스 연결 역할 제한 사항 ](service-linked-role-limitations.md) + [ # 리전 간 데이터 액세스 제한 ](x-region-considerations.md) + [ # 데이터 카탈로그 뷰 고려 사항 및 제한 사항 ](views-notes.md) + [ # 데이터 필터링 제한 사항 ](data-filtering-notes.md) + [ # 하이브리드 액세스 모드 고려 사항 및 제한 사항 ](notes-hybrid.md) + [ # Amazon Redshift 데이터 웨어하우스 데이터를 로 가져오기 위한 제한 사항 AWS Glue Data Catalog ](notes-ns-catalog.md) + [ # S3 Tables 카탈로그 통합 제한 사항 ](notes-s3-catalog.md) + [ # Hive 메타데이터 스토어 데이터 공유 고려 사항 및 제한 사항 ](notes-hms.md) + [ # Amazon Redshift 데이터 공유 제한 사항 ](notes-rs-datashare.md) + [ # IAM Identity Center 통합 제한 사항 ](identity-center-lf-notes.md) + [ # Lake Formation 태그 기반 액세스 제어 모범 사례 및 고려 사항 ](lf-tag-considerations.md) + [ # 속성 기반 액세스 제어 고려 사항, 제한 사항 및 지원되는 리전 ](abac-considerations.md) # 계정 간 데이터 공유 모범 사례 및 고려 사항 Lake Formation 교차 계정 기능을 사용하면 사용자가 여러 AWS 계정 AWS 조직 간에 분산된 데이터 레이크를 안전하게 공유하거나 다른 계정의 IAM 보안 주체와 직접 공유하여 데이터 카탈로그 메타데이터 및 기본 데이터에 대한 세분화된 액세스를 제공할 수 있습니다. Lake Formation 계정 간 데이터 공유를 사용할 때는 다음 모범 사례를 고려하십시오. + 본인 AWS 계정의 보안 주체에게 부여할 수 있는 Lake Formation 권한 부여 수에는 제한이 없습니다. 그러나 Lake Formation은 계정에서 명명된 리소스 메서드로 수행할 수 있는 교차 계정 권한 부여에 AWS Resource Access Manager (AWS RAM) 용량을 사용합니다. AWS RAM 용량을 극대화하려면 명명된 리소스 메서드에 대한 다음 모범 사례를 따르세요. + 새 교차 계정 권한 부여 모드(**교차 계정 버전 설정의 버전** **3** 이상)를 사용하여 리소스를 외부와 공유합니다 AWS 계정. 자세한 내용은 [교차 계정 데이터 공유 버전 설정 업데이트](optimize-ram.md) 단원을 참조하십시오. + 조직에 AWS 계정을 정렬하고 조직 또는 조직 단위에 권한을 부여합니다. 조직 또는 조직 단위에 대한 권한 부여는 한 번의 부여로 간주됩니다. 조직 또는 조직 단위에 권한을 부여하면 권한 부여에 대한 AWS Resource Access Manager (AWS RAM) 리소스 공유 초대를 수락할 필요도 없습니다. 자세한 내용은 [공유 데이터 카탈로그 테이블 및 데이터베이스 액세스 및 보기](viewing-shared-resources.md) 단원을 참조하십시오. + 데이터베이스의 많은 개별 테이블에 권한을 부여하는 대신 특수한 **모든 테이블** 와일드카드를 사용하여 데이터베이스의 모든 테이블에 권한을 부여합니다. **모든 테이블**에 권한을 부여하는 것은 단일 권한 부여로 간주됩니다. 자세한 내용은 [데이터 카탈로그 리소스에 대한 권한 부여](granting-catalog-permissions.md) 단원을 참조하십시오. **참고** 의 리소스 공유 수에 대한 더 높은 제한을 요청하는 방법에 대한 자세한 내용은의 서비스 할당량을 AWS RAM참조하세요*AWS 일반 참조*. [AWS](https://docs.aws.amazon.com/general/latest/gr/aws_service_limits.html) + Amazon Athena 및 Amazon Redshift Spectrum 쿼리 편집기에 해당 데이터베이스를 표시하려면 공유 데이터베이스에 대한 리소스 링크를 생성해야 합니다. 마찬가지로, Athena 및 Redshift Spectrum을 사용하여 공유 테이블을 쿼리하려면 테이블에 대한 리소스 링크를 만들어야 합니다. 그러면 리소스 링크가 쿼리 편집기의 테이블 목록에 나타납니다. 쿼리를 위해 많은 개별 테이블에 대한 리소스 링크를 만드는 대신, **모든 테이블** 와일드카드를 사용하여 데이터베이스의 모든 테이블에 대한 권한을 부여할 수 있습니다. 그런 다음 해당 데이터베이스의 리소스 링크를 만들고 쿼리 편집기에서 해당 데이터베이스 리소스 링크를 선택하면 쿼리를 위해 해당 데이터베이스의 모든 테이블에 액세스할 수 있습니다. 자세한 내용은 [리소스 링크 생성](creating-resource-links.md) 단원을 참조하십시오. + 다른 계정의 보안 주체와 직접 리소스를 공유하는 경우, 수신자 계정의 IAM 보안 주체는 Athena와 Amazon Redshift Spectrum을 사용하여 공유 테이블을 쿼리할 수 있는 리소스 링크를 생성할 권한이 없을 수 있습니다. 데이터 레이크 관리자는 공유되는 각 테이블에 대해 리소스 링크를 생성하는 대신, 자리 표시자 데이터베이스를 만들고 `ALLIAMPrincipal` 그룹에 `CREATE_TABLE` 권한을 부여할 수 있습니다. 그러면 수신자 계정의 모든 IAM 보안 주체가 자리 표시자 데이터베이스에 리소스 링크를 생성하고 공유 테이블에 대한 쿼리를 시작할 수 있습니다. [Granting database permissions using the named resource method](granting-database-permissions.md)에서 `ALLIAMPrincipals`에 권한을 부여하는 예제 CLI 명령을 참조하세요. + 계정 간 권한이 보안 주체에 직접 부여되면 권한 부여 수신자만 해당 권한을 볼 수 있습니다. 수신자 AWS 계정의 데이터 레이크 관리자는 이렇게 직접 부여된 권한을 볼 수 없습니다. + Athena와 Redshift Spectrum은 열 수준의 액세스 제어를 지원하지만 포함만 지원하며 제외는 지원하지 않습니다. 열 수준의 액세스 제어는 AWS Glue ETL 작업에서 지원되지 않습니다. + 리소스가 AWS 계정과 공유되면 계정의 사용자에게만 리소스에 대한 권한을 부여할 수 있습니다. 리소스에 대한 권한을 다른 AWS 계정, 조직(자체 조직도 아님) 또는 `IAMAllowedPrincipals` 그룹에 부여할 수 없습니다. + 외부 계정에 데이터베이스의 `DROP` 또는 `Super`를 부여할 수 없습니다. + 데이터베이스 또는 테이블을 삭제하기 전에 교차 계정 권한을 취소하세요. 그렇지 않으면 분리된 리소스 공유를 삭제해야 합니다 AWS Resource Access Manager. **다음 사항도 참조하세요.** [Lake Formation 태그 기반 액세스 제어 모범 사례 및 고려 사항](lf-tag-considerations.md) 더 많은 교차 계정 액세스 규칙 및 제한 사항은 [Lake Formation 권한 참조](lf-permissions-reference.md)의 [`CREATE_TABLE`](lf-permissions-reference.md#perm-create-table)를 참조하세요. # 서비스 연결 역할 제한 사항 서비스 연결 역할은 직접 연결된 특수한 유형의 IAM 역할입니다 AWS Lake Formation. 이 역할에는 Lake Formation이 여러 AWS 서비스에서 사용자를 대신하여 작업을 수행할 수 있도록 사전 정의된 권한이 있습니다. 서비스 연결 역할(SLR)을 사용하여 Lake Formation에 데이터 위치를 등록할 때 다음 제한 사항이 적용됩니다. + 일단 생성되면 서비스 연결 역할 정책을 수정할 수 없습니다. + 서비스 연결 역할은 계정 간 암호화된 카탈로그 리소스 공유를 지원하지 않습니다. 암호화된 리소스에는 특정 AWS KMS 키 권한이 필요합니다. 서비스 연결 역할에는 사전 정의된 권한이 있지만, 이 권한에는 여러 계정에 걸쳐 암호화된 카탈로그 리소스로 작업할 수 있는 기능이 포함되어 있지 않습니다. + 여러 Amazon S3 위치를 등록할 때 서비스 연결 역할을 사용하면 IAM 정책 제한 범위를 빠르게 벗어날 수 있습니다. 이는 서비스 연결 역할에서가 정책을 자동으로 AWS 작성하고 모든 등록을 포함하는 하나의 큰 블록으로 증가하기 때문에 발생합니다. 고객 관리형 정책을 더 효율적으로 작성하거나, 여러 정책에 권한을 배포하거나, 리전마다 다른 역할을 사용할 수 있습니다. + EC2에서 Amazon EMR는 데이터 위치를 서비스 연결 역할에 등록하는 데이터에 액세스할 수 없습니다. + 서비스 연결 역할 작업은 AWS 서비스 제어 정책을 우회합니다. + 서비스 연결 역할을 사용하여 데이터 위치를 등록하면 최종 일관성을 적용하여 IAM 정책을 업데이트합니다. 자세한 내용은 IAM 사용 설명서의 [IAM 문제 해결](https://docs.aws.amazon.com/IAM/latest/UserGuide/troubleshoot.html#troubleshoot_general_eventual-consistency) 설명서를 참조하세요. + Lake Formation 데이터 레이크 설정에서 서비스 연결 역할을 사용할 때는 `SET_CONTEXT = TRUE`를 설정할 수 없으며, IAM Identity Center를 사용하고 있습니다. 그 이유는 서비스 연결 역할의 신뢰 정책이 변경 불가능하기 때문입니다. 이 정책은 IAM Identity Center 보안 주체와의 `SetContext` 감사에 필요한 신뢰할 수 있는 ID 전파와 호환되지 않습니다. # 리전 간 데이터 액세스 제한 Lake Formation은 AWS 리전전반에서 데이터 카탈로그 테이블 쿼리를 지원합니다. 소스 데이터베이스 및 테이블을 가리키는 다른 리전에서 리소스 링크를 생성하여 Amazon Athena Amazon EMR 및 AWS Glue ETL을 사용하여 다른 리전의 리전에 있는 데이터에 액세스할 수 있습니다. 교차 리전 테이블 액세스를 사용하면 기본 데이터나 메타데이터를 데이터 카탈로그에 복사하지 않고도 여러 리전의 데이터에 액세스할 수 있습니다. 리전 간 테이블 액세스에는 다음과 같은 제한 사항이 적용됩니다. + Lake Formation은 Amazon Redshift Spectrum을 사용하여 다른 리전의 데이터 카탈로그 테이블을 쿼리하는 것을 지원하지 않습니다. + Lake Formation 콘솔의 데이터베이스 및 테이블 보기에는 소스 리전 데이터베이스/테이블 이름이 표시되지 않습니다. + 다른 리전의 공유 데이터베이스 아래에 있는 테이블 목록을 보려면 먼저 공유 데이터베이스에 대한 리소스 링크를 만든 다음 리소스 링크를 선택하고 **테이블 보기**를 선택해야 합니다. + Lake Formation은 SAML 사용자가 수행하는 교차 리전 리소스 링크 호출을 지원하지 않습니다. + Lake Formation의 리전 간 기능에는 데이터 전송에 대한 추가 요금이 포함되지 않습니다. # 데이터 카탈로그 뷰 고려 사항 및 제한 사항 데이터 카탈로그 뷰에는 다음 고려 사항 및 제한 사항이 적용됩니다. + Lake Formation 콘솔에서는 Data Catalog 뷰를 생성할 수 없습니다. AWS CLI 또는 SDK를 사용하여 뷰를 생성할 수 있습니다. + 10개의 테이블에서 Data Catalog 뷰를 생성할 수 있는데, 이는 하드 제한입니다. 뷰의 기본 참조 테이블은 동일한 데이터베이스 또는 동일한 AWS 계정 내의 다른 데이터베이스에 속할 수 있습니다. + Redshift를 사용한 Data Catalog 뷰 생성과 관련된 추가 고려 사항 및 제한 사항은 Amazon Redshift 데이터베이스 개발자 안내서의 [Data Catalog 뷰 고려 사항 및 제한 사항](https://docs.aws.amazon.com/redshift/latest/dg/data-catalog-views-overview.html#data-catalog-views-considerations) 섹션을 참조하세요. Athena의 경우 Amazon Athena 사용 설명서의 [Data Catalog 뷰 고려 사항 및 제한 사항](https://docs.aws.amazon.com/athena/latest/ug/views-glue.html#views-glue-limitations) 섹션을 참조하세요. + 하이브리드 액세스 모드와 Lake Formation 모드 모두에서 Lake Formation에 등록된 테이블에 데이터 카탈로그 뷰를 생성할 수 있습니다. Lake Formation 하이브리드 액세스 모드에서 데이터 카탈로그 뷰를 사용할 경우 액세스 권한을 부여하지 않고 뷰에서 참조된 기본 테이블에 대해 뷰 소비 보안 주체가 Lake Formation 권한에 옵트인되어 있는지 확인하는 것이 좋습니다. 이렇게 하면 AWS Glue IAM 권한을 통해 기본 테이블이 소비자에게 공개되지 않습니다. + 뷰를 공유하기 위한 교차 계정 공유 버전에는 제한 사항이 없습니다. + 이미 생성된 뷰 언어에 `ALTER VIEW` 문을 사용하면 데이터 카탈로그 테이블과 마찬가지로 뷰의 버전이 지정됩니다. 기본 데이터가 변경되면 뷰 버전이 변경되므로 이전 뷰로 롤백할 수 없습니다. 뷰 버전을 삭제할 수 있으며 기본적으로 사용 가능한 다음 최신 버전으로 설정됩니다. 뷰 버전을 변경할 때 데이터가 선택한 뷰 버전 스키마와 동기화되어 있는지 확인하세요. + 새 데이터 카탈로그 API는 도입되지 않습니다. 기존 `CreateTable`, `UpdateTable`, `DeleteTable` 및 `GetTable` API가 업데이트됩니다. + Amazon Redshift는 항상 문자열이 있는 테이블에서 varchar 열을 포함하는 뷰를 생성합니다. 다른 엔진의 언어를 추가할 때는 문자열 열을 명시적 길이의 varchar로 캐스팅해야 합니다. + 데이터베이스 내 `All tables`에 데이터 레이크 권한을 부여하면 부여받은 사람은 데이터베이스 내의 모든 테이블과 뷰에 대한 권한을 갖게 됩니다. + 다음과 같이 뷰를 생성할 수 없습니다. + 이는 다른 뷰를 참조합니다. + 참조 테이블이 리소스 링크인 경우 + 참조 테이블이 다른 계정에 있는 경우 + 외부 Hive 메타스토어에서 + Redshift Spectrum Dialect 뷰에는 교차 계정 정의자 역할이 지원되지 않습니다. + Athena 쿼리 편집기의 Athena 언어에 대한 리소스 링크는 지원되지 않습니다. Athena 언어에 교차 계정 정의자 역할을 사용하려면 기본 테이블을 호스팅하는 계정을 Athena의 데이터 소스로 추가합니다. # 데이터 필터링 제한 사항 데이터 카탈로그 테이블에 대한 Lake Formation 권한을 부여하면 데이터 필터링 사양을 포함하여 쿼리 결과 및 Lake Formation 통합 엔진에서 특정 데이터에 대한 액세스를 제한할 수 있습니다. Lake Formation은 데이터 필터링을 사용하여 열 수준 보안, 행 수준 보안 및 셀 수준 보안을 달성합니다. 소스 데이터에 중첩 구조가 포함된 경우 중첩 열에 데이터 필터를 정의하고 적용할 수 있습니다. ## 열 수준 필터링에 대한 참고 및 제한 사항 열 필터링을 지정하는 세 가지 방법이 있습니다. + 데이터 필터 사용 + 단순 열 필터링 또는 중첩된 열 필터링 사용. + TAG를 사용합니다 단순 열 필터링은 포함하거나 제외할 열 목록만 지정합니다. Lake Formation 콘솔, API 및 모두 간단한 열 필터링을 AWS CLI 지원합니다. 예제는 [Grant with Simple Column Filtering](granting-table-permissions.md#simple-column-filter-example) 섹션을 참조하세요. 다음 참고 및 제한 사항이 열 필터링에 적용됩니다. + AWS Glue 5.0 이상은 Apache Hive 및 Apache Iceberg 테이블에 대해서만 Lake Formation을 통한 세분화된 액세스 제어를 지원합니다. + 권한 부여 옵션 및 열 필터링으로 `SELECT`를 부여하려면 제외 목록이 아닌 포함 목록을 사용해야 합니다. 권한 부여 옵션이 없는 경우 포함 또는 제외 목록을 사용할 수 있습니다. + 열 필터링이 있는 테이블에 `SELECT`를 부여하려면 부여 옵션이 있고 행 제한이 없는 테이블에 `SELECT`를 부여해야 합니다. 모든 행에 액세스할 수 있는 권한이 있어야 합니다. + 계정의 관리자에게 권한 부여 옵션 및 열 필터링이 있는 `SELECT`를 부여하는 경우, 해당 관리자는 다른 관리자에게 권한 부여할 때 동일한 열 또는 부여된 열의 하위 집합에 대해 열 필터링을 지정해야 합니다. 외부 계정에 권한 부여 옵션 및 열 필터링을 사용하여 `SELECT`를 부여하면 외부 계정의 데이터 레이크 관리자가 계정의 다른 보안 주체에 모든 열에 대해 `SELECT`를 부여할 수 있습니다. 그러나 모든 열에 `SELECT`를 설정하더라도 해당 보안 주체는 외부 계정에 권한 부여된 열에 대해서만 가시성을 갖게 됩니다. + 파티션 키에는 열 필터링을 적용할 수 없습니다. + 테이블의 열 하위 집합에 대한 `SELECT` 권한이 있는 보안 주체는 해당 테이블에 대한 `ALTER`, `DROP`, `DELETE` 또는 `INSERT` 권한을 부여받을 수 없습니다. 테이블에 대한 `ALTER`, `DROP`, `DELETE` 또는 `INSERT` 권한이 있는 보안 주체의 경우 열 필터링으로 `SELECT` 권한을 부여하면 아무 효과가 없습니다. 다음 참고 및 제한 사항이 중첩된 열 필터링에 적용됩니다. + 데이터 필터에 5개 수준의 중첩된 필드를 포함하거나 제외할 수 있습니다. **Example** Col1.Col1\$11.Col1\$11\$11.Col1\$11\$11\$11.Col1\$11\$11\$11\$11 + 파티션 열 내의 중첩된 필드에는 열 필터링을 적용할 수 없습니다. + 테이블 스키마에 데이터 필터 내에서 동일한 패턴의 중첩된 필드 표현이 있는 최상위 열 이름(“고객”.“주소”)이 포함된 경우(최상위 열 이름 `customer`와 중첩된 필드 이름 `address`가 데이터 필터에 `"customer"."address"`로 지정됨), 포함/제외 목록에서 모두 동일한 패턴을 사용하여 표시되므로 최상위 열 또는 중첩된 필드에 대한 액세스를 명시적으로 지정할 수 없습니다. 이는 모호하며 최상위 열 또는 중첩된 필드를 지정하는 경우 Lake Formation에서 문제를 해결할 수 없습니다. + 최상위 열 또는 중첩된 필드의 이름에 큰 따옴표가 포함된 경우, 데이터 셀 필터의 포함 및 제외 목록 내 중첩된 필드에 대한 액세스를 지정할 때 두 번째 큰 따옴표를 포함해야 합니다. **Example** 큰 따옴표가 있는 중첩된 열 이름의 예 - `a.b.double"quote` **Example** 데이터 필터 내 중첩된 열 표현식의 예 - ` "a"."b"."double""quote"` ## 셀 수준 필터링 제한 행 수준 및 셀 수준 필터링에 대한 다음 참고 사항과 제한 사항에 유의하십시오. + 중첩된 열, 뷰 및 리소스 링크에는 셀 수준 보안이 지원되지 않습니다. + 최상위 열에서 지원되는 모든 표현식은 중첩 열에서도 지원됩니다. 하지만 중첩된 행 수준 식을 정의할 때 파티션 열 아래의 중첩된 필드를 참조해서는 **안 됩니다**. + 셀 수준 보안은 Athena 엔진 버전 3 또는 Amazon Redshift Spectrum을 사용하는 경우 모든 리전에서 사용할 수 있습니다. 다른 서비스의 경우, 셀 수준 보안은 [지원되는 리전:](supported-regions.md)에 언급된 리전에서만 사용할 수 있습니다. + `SELECT INTO` 설명은 지원되지 않습니다. + `array` 및 `map` 데이터 유형은 행 필터 표현식에서 지원되지 않습니다. `struct` 데이터 유형만 지원됩니다. + 테이블에 정의할 수 있는 데이터 필터 수에는 제한이 없지만, 테이블의 단일 보안 주체에 대한 데이터 필터는 100개로 제한되어 있습니다. + 행 필터 표현식을 사용하여 데이터 필터를 적용하려면 모든 테이블 열에 부여 옵션이 있는 `SELECT`가 있어야 합니다. 외부 계정에 권한이 부여되었을 때 외부 계정의 관리자에게는 이 제한이 적용되지 않습니다. + 보안 주체가 그룹의 구성원이고 보안 주체와 그룹 모두 행의 하위 집합에 대한 권한이 부여된 경우, 보안 주체의 유효 행 권한은 보안 주체의 권한과 그룹의 권한을 합산한 값입니다. + 행 수준 및 셀 수준 필터링에 대한 테이블에는 다음 열 이름이 제한됩니다. + ctid + oid + xmin + cmin + xmax + cmax + tableoid + insertxid + deletexid + importoid + redcatuniqueid + 테이블에 모든 행 필터 표현식을 조건자가 있는 다른 필터 표현식과 동시에 적용하는 경우, 모든 행 표현식이 다른 모든 필터 표현식보다 우선합니다. + 행의 하위 집합에 대한 권한이 외부 AWS 계정에 부여되고 외부 계정의 데이터 레이크 관리자가 해당 계정의 보안 주체에게 해당 권한을 부여하는 경우 보안 주체의 유효 필터 조건자는 계정 조건자와 보안 주체에게 직접 부여된 조건자의 교집합입니다. 예를 들어 계정에 조건자가 `dept='hr'`인 행 권한이 있고 사용자에게 `country='us'`에 대한 권한이 별도로 부여된 경우, 사용자에게는 `dept='hr'` 및 `country='us'`가 있는 행에만 액세스 권한이 있습니다. 셀 수준 필터링에 대한 자세한 내용은 [Lake Formation의 데이터 필터링 및 셀 수준 보안](data-filtering.md) 섹션을 참조하세요. 행 수준 보안 정책과 함께 Amazon Redshift Spectrum을 사용하여 테이블을 쿼리할 때의 고려 사항 및 제한 사항은 Amazon Redshift 데이터베이스 개발자 안내서의 [LS 정책 사용 고려 사항 및 제한 사항](https://docs.aws.amazon.com/redshift/latest/dg/t_rls_usage.html)을 참조하세요. # 하이브리드 액세스 모드 고려 사항 및 제한 사항 하이브리드 액세스 모드는 AWS Glue Data Catalog의 데이터베이스 및 테이블에 대한 Lake Formation 권한을 선택적으로 활성화할 수 있는 유연성을 제공합니다. 
 하이브리드 액세스 모드를 사용하면 이제 다른 기존 사용자 또는 워크로드의 권한 정책을 중단하지 않고 특정 사용자 집합에 대해 Lake Formation 권한을 설정할 수 있는 증분 경로가 제공됩니다. 하이브리드 액세스 모드에는 다음과 같은 고려 사항 및 제한 사항이 적용됩니다. **제한 사항** + **Amazon S3 위치 등록 업데이트** - 서비스 연결 역할을 사용하여 Lake Formation에 등록된 위치의 파라미터는 편집할 수 없습니다. + **LF 태그 사용 시 옵트인 옵션** - LF 태그를 사용하여 Lake Formation 권한을 부여할 수 있는 경우 LF 태그가 연결된 데이터베이스와 테이블을 선택하여 Lake Formation 권한을 연속적으로 적용하도록 보안 주체를 옵트인할 수 있습니다. + **하이브리드 액세스 모드 액세스** - Lake Formation의 하이브리드 액세스 모드에 대한 액세스는 데이터 레이크 관리자 또는 읽기 전용 관리자 권한이 있는 사용자로 제한됩니다. + **옵트인 보안 주체** - 현재는 데이터 레이크 관리자 역할만 보안 주체를 리소스에 옵트인할 수 있습니다. + **데이터베이스의 모든 테이블 옵트인** - 교차 계정 권한 부여의 경우, 권한을 부여하고 데이터베이스의 모든 테이블을 옵트인하는 경우 권한이 작동하려면 데이터베이스도 옵트인해야 합니다. **고려 사항** + **Lake Formation에 등록된 Amazon S3 위치를 하이브리드 액세스 모드로 업데이트** - Lake Formation에 이미 등록된 Amazon S3 데이터 위치를 하이브리드 액세스 모드로 변환하는 것은 가능하지만 권장하지 않습니다. + **데이터 위치가 하이브리드 액세스 모드로 등록된 경우의 API 동작** + CreateTable - 하이브리드 액세스 모드 플래그 및 옵트인 상태에 관계없이 위치는 Lake Formation에 등록된 것으로 간주됩니다. 따라서 사용자가 테이블을 생성하려면 데이터 위치 권한이 필요합니다. + CreatePartition/BatchCreatePartitions/UpdatePartitions(파티션 위치가 하이브리드에 등록된 위치를 가리키도록 업데이트된 경우) - Amazon S3 위치는 하이브리드 액세스 모드 플래그 및 옵트인 상태에 관계없이 Lake Formation에 등록된 것으로 간주됩니다. 따라서 사용자가 데이터베이스를 생성하거나 업데이트하려면 데이터 위치 권한이 필요합니다. + CreateDatabase/UpdateDatabase(데이터베이스 위치가 하이브리드 액세스 모드로 등록된 위치를 가리키도록 업데이트된 경우) - 위치는 하이브리드 액세스 모드 플래그 및 옵트인 상태에 관계없이 Lake Formation에 등록된 것으로 간주됩니다. 따라서 사용자가 데이터베이스를 생성하거나 업데이트하려면 데이터 위치 권한이 필요합니다. + UpdateTable(테이블 위치가 하이브리드 액세스 모드로 등록된 위치를 가리키도록 업데이트된 경우) - 위치는 하이브리드 액세스 모드 플래그 및 옵트인 상태에 관계없이 Lake Formation에 등록된 것으로 간주됩니다. 따라서 사용자가 테이블을 업데이트하려면 데이터 위치 권한이 필요합니다. 테이블 위치가 업데이트되지 않았거나 Lake Formation에 등록되지 않은 위치를 가리키는 경우 사용자는 테이블을 업데이트하기 위해 데이터 위치 권한이 필요하지 않습니다. # Amazon Redshift 데이터 웨어하우스 데이터를 로 가져오기 위한 제한 사항 AWS Glue Data Catalog AWS Glue Data Catalog를 사용하여 Amazon Redshift 데이터 웨어하우스의 분석 데이터에 대한 액세스를 카탈로그화하고 관리할 수 있습니다. 다음과 같은 제한이 적용됩니다. + 페더레이션 카탈로그 수준에서는 계정 간 공유가 지원되지 않습니다. 그러나의 페더레이션 카탈로그 내에서 개별 데이터베이스와 테이블을 공유할 수 AWS 계정있습니다. + 에서 연동 카탈로그의 데이터베이스 또는 테이블을 공유하려면 **교차 계정 버전 설정** 버전 AWS 계정 4 이상이 있어야 합니다. + Data Catalog는 최상위 카탈로그 생성만 지원합니다. + Redshift 관리형 스토리지(RMS)에서만 카탈로그 설명을 업데이트할 수 있습니다. + 페더레이션 카탈로그뿐만 아니라 페더레이션 카탈로그의 데이터베이스 및 테이블에 대한 권한을 `IAMAllowedPrincipals` 그룹에 설정하는 것은 지원되지 않습니다. + 카탈로그 구성 설정을 포함하여 Athena, Amazon EMR Spark 등과 같은 엔진의 카탈로그에 대한 데이터 정의 언어(DDL) 작업은 지원되지 않습니다. + Athena를 사용하여 RMS 테이블에서 DDL 작업을 수행하는 것은 지원되지 않습니다. + 구체화된 뷰 생성은 Athena, Apache Spark, AWS Glue Data Catalog또는 Amazon Redshift 소비자를 통해서든 지원되지 않습니다. + Athena는 다중 카탈로그 경험을 지원하지 않습니다. 한 번에 하나의 특정 카탈로그에만 연결할 수 있습니다. Athena는 여러 카탈로그에 동시에 액세스하거나 쿼리할 수 없습니다. + Athena 및 Amazon Redshift를 통한 Iceberg 테이블의 태그 지정 및 분기 작업은 지원되지 않습니다. + RMS 테이블의 Time Travel은 지원되지 않습니다. + 데이터 레이크 테이블이 있는 다단계 카탈로그는 지원되지 않습니다. 데이터 레이크 테이블과 함께 사용하기 위해 Amazon S3에 저장된 모든 데이터는 기본값에 있어야 하며 다단계 카탈로그로 구성할 AWS Glue Data Catalog수 없습니다. + Amazon Redshift에서는 등록된 네임스페이스에 데이터 공유가 추가되지 않습니다. 클러스터와 네임스페이스는 동의어이므로 클러스터를에 게시한 후에는 새 데이터를 추가할 AWS Glue Data Catalog수 없습니다. + Amazon EMR on EC2는 RMS 테이블 및 Amazon S3 Tables 간 조인을 지원하지 않습니다. EMR Serverless만 이 기능을 지원합니다. + 외부 스키마 및 테이블은 지원되지 않습니다. + RMS 테이블은 AWS Glue Iceberg REST 카탈로그의 확장 엔드포인트에서만 액세스할 수 있습니다. + AWS Glue Iceberg REST 카탈로그에 연결된 타사 엔진에서는 Hive 테이블에 액세스할 수 없습니다. + Spark를 통한 RMS 테이블의 read\$1committed 격리 수준이 지원됩니다. + Redshift 데이터베이스 이름은에서 대소문자를 구분하지 않고 128자로 AWS Glue Data Catalog제한되며 대시(-)와 밑줄(\$1)이 있는 영숫자일 수 있습니다. + 카탈로그 이름은 대소문자를 구분하지 않고 50자로 제한되며, 대시(-)와 밑줄(\$1)이 있는 영숫자로 이루어질 수 있습니다. + Amazon Redshift는 Lake Formation SQL 스타일 GRANT 및 REVOKE 명령을 사용하여 AWS Glue Data Catalog에 게시된 테이블에 대한 액세스 권한을 관리하는 기능을 지원하지 않습니다. + 생산자(소스) Amazon Redshift 클러스터에 연결된 행 수준 보안 및 동적 데이터 마스킹 정책은 적용되지 않습니다. 대신 Lake Formation에서 정의된 액세스 권한이 공유 데이터에 적용됩니다. + 테이블 링크에서 데이터 정의 언어(DDL) 및 데이터 조작 언어(DML) 작업을 수행하는 것은 지원되지 않습니다. + 예약된 키워드가 제대로 이스케이프되지 않으면 실패 또는 오류가 발생합니다. + 다중 카탈로그 시나리오의 데이터 암호화는 지원되지 않습니다. # S3 Tables 카탈로그 통합 제한 사항 Amazon S3 Tables는 AWS Glue Data Catalog (Data Catalog)와 통합되고 카탈로그를 Lake Formation 데이터 위치로 등록합니다. Lake Formation 콘솔 또는 서비스 API를 사용하여 이 등록을 설정할 수 있습니다. **참고** 보안 주체 태그를 기반으로 IAM 사용자 및 IAM 역할을 제한하는 IAM 또는 S3 Tables 리소스 기반 정책이 있는 경우 Lake Formation이 S3 데이터에 액세스하는 데 사용하는 IAM 역할(예: LakeFormationDataAccessRole)에 동일한 보안 주체 태그를 연결하고이 역할에 필요한 권한을 부여해야 합니다. 이는 태그 기반 액세스 제어 정책이 S3 Tables 분석 통합과 올바르게 작동하는 데 필요합니다. S3 Tables 카탈로그를 Data Catalog 및 Lake Formation과 통합하는 데는 다음 제한 사항이 적용됩니다. + AWS Glue 및 Lake Formation은 대소문자가 혼합된 열 이름을 지원하지 않으며 모든 열 이름을 소문자로 변환합니다. 소문자로 변환될 때 테이블 열 이름이 고유한지 확인해야 합니다. `customerId` 대신 `customer_id`를 사용합니다. 대소문자 혼합 열 이름 사용은 평가판 릴리스 중에만 지원되었습니다. + CreateCatalog API는 Amazon S3에서 테이블 버킷을 생성할 수 없습니다. + SearchTables API는 S3 테이블을 검색할 수 없습니다. # Hive 메타데이터 스토어 데이터 공유 고려 사항 및 제한 사항 AWS Glue Data Catalog 메타데이터 페더레이션(데이터 카탈로그 페더레이션)을 사용하면 Amazon S3 데이터에 대한 메타데이터를 저장하는 외부 메타스토어에 데이터 카탈로그를 연결하고를 사용하여 데이터 액세스 권한을 안전하게 관리할 수 있습니다 AWS Lake Formation. Hive 데이터베이스에서 만든 페더레이션형 데이터베이스에는 다음 고려 사항 및 제한 사항이 적용됩니다. **고려 사항** + **AWS SAM 애플리케이션 지원** - AWS SAM 배포하는 애플리케이션 리소스(Amazon API Gateway 및 Lambda 함수)의 가용성은 사용자의 책임입니다. 사용자가 쿼리를 실행할 때 AWS Glue Data Catalog 와 Hive 메타스토어 간의 연결이 작동하는지 확인합니다. + **Hive 메타스토어 버전 요구 사항** - Apache Hive 버전 3 이상을 사용해서만 페더레이션된 데이터베이스를 만들 수 있습니다. + **매핑된 데이터베이스 요구 사항** - 모든 Hive 데이터베이스를 Lake Formation의 새 데이터베이스에 매핑해야 합니다. + **데이터베이스 수준 페더레이션 지원** - 데이터베이스 수준에서만 Hive 메타스토어에 연결할 수 있습니다. + **페더레이션형 데이터베이스에 대한 권한** - 페더레이션된 데이터베이스 또는 페더레이션된 데이터베이스의 테이블에 적용된 권한은 소스 테이블이나 데이터베이스가 삭제된 경우에도 지속됩니다. 소스 데이터베이스 또는 테이블을 재생성할 때 권한을 다시 부여할 필요가 없습니다. Lake Formation 권한이 있는 페더레이션된 테이블을 소스에서 삭제해도 Lake Formation 권한은 계속 표시되며 필요한 경우 이를 취소할 수 있습니다. 사용자가 페더레이션형 데이터베이스를 삭제하면 해당하는 모든 권한이 손실됩니다. 같은 이름으로 동일한 데이터베이스를 재생성해도 Lake Formation 권한은 복구되지 않습니다. 사용자는 새 권한을 다시 설정해야 합니다. + **페더레이션된 데이터베이스에 대한 IAMAllowedPrincipal 그룹 권한** - `DataLakeSettings`를 기반으로 Lake Formation은 모든 데이터베이스 및 테이블에 대한 권한을 `IAMAllowedPrincipal`이라는 가상 그룹에 설정할 수 있습니다. 는 IAM 보안 주체 정책 및 리소스 정책을 통해 데이터 카탈로그 AWS Glue 리소스에 액세스할 수 있는 모든 IAM 보안 주체를 `IAMAllowedPrincipal` 나타냅니다. 데이터베이스 또는 테이블에 이러한 권한이 있는 경우 모든 보안 주체에게 데이터베이스 또는 테이블에 대한 액세스 권한이 부여됩니다. 그러나 Lake Formation은 페더레이션형 데이터베이스의 테이블에 대한 `IAMAllowedPrincipal` 권한을 허용하지 않습니다. 페더레이션형 데이터베이스를 생성할 때는 `CreateTableDefaultPermissions` 파라미터를 빈 목록으로 전달해야 합니다. 자세한 내용은 [데이터 레이크의 기본 설정 변경](change-settings.md) 단원을 참조하십시오. + **쿼리에서 테이블 조인** - Hive 메타스토어 테이블을 데이터 카탈로그 기본 테이블과 조인하여 쿼리를 실행할 수 있습니다. **제한 사항** + ** AWS Glue Data Catalog 와 Hive 메타스토어 간의 메타데이터 동기화 제한 **- Hive 메타스토어 연결을 설정한 후 페더레이션 데이터베이스를 생성하여 Hive 메타스토어의 메타데이터를와 동기화해야 합니다 AWS Glue Data Catalog. 페더레이션형 데이터베이스 아래의 테이블은 사용자가 쿼리를 실행할 때 런타임에 동기화됩니다. + **페더레이션형 데이터베이스에서 새 테이블 생성 시 제한 사항** - 페더레이션형 데이터베이스에서는 새 테이블을 생성할 수 없습니다. + **데이터 권한 제한** - Hive 메타스토어 테이블 보기에 대한 권한에 대한 지원은 제공되지 않습니다. # Amazon Redshift 데이터 공유 제한 사항 AWS Lake Formation 를 사용하면 Amazon Redshift에서 데이터 공유의 데이터를 안전하게 관리할 수 있습니다. Amazon Redshift는 AWS 클라우드의 완전관리형 페타바이트 규모의 데이터 웨어하우스 서비스입니다. Amazon Redshift는 데이터 공유 기능을 사용하여 AWS 계정간에 데이터를 서로 공유할 수 있도록 지원합니다. Amazon Redshift 데이터 공유에 대한 자세한 내용은 [Amazon Redshift에서 데이터 공유 개요](https://docs.aws.amazon.com/redshift/latest/dg/data_sharing_intro.html)를 참조하세요. Amazon Redshift 데이터 공유에서 생성된 페더레이션 데이터베이스에는 다음 참고 및 제한 사항이 적용됩니다. + **매핑된 데이터베이스 요구 사항** - 모든 Amazon Redshift 데이터 공유를 Lake Formation의 새 데이터베이스에 매핑해야 합니다. 이는 데이터 카탈로그 데이터베이스에서 데이터 공유 객체 표현이 평면화될 때 고유한 테이블 이름을 유지하는 데 필요합니다. + **페더레이션된 데이터베이스에서 새 테이블 생성 시 제한 사항** - 페더레이션된 데이터베이스에서는 새 테이블을 생성할 수 없습니다. + **페더레이션된 데이터베이스에 대한 권한** - 페더레이션된 데이터베이스 또는 페더레이션된 데이터베이스의 테이블에 적용된 권한은 소스 테이블이나 데이터베이스가 삭제된 경우에도 지속됩니다. 소스 데이터베이스 또는 테이블을 재생성할 때 권한을 다시 부여할 필요가 없습니다. Lake Formation 권한이 있는 페더레이션된 테이블을 소스에서 삭제해도 Lake Formation 권한은 계속 표시되며 필요한 경우 이를 취소할 수 있습니다. 사용자가 페더레이션된 데이터베이스를 삭제하면 해당하는 모든 권한이 손실됩니다. 같은 이름으로 동일한 데이터베이스를 재생성해도 Lake Formation 권한은 복구되지 않습니다. 사용자는 새 권한을 다시 설정해야 합니다. + **페더레이션된 데이터베이스에 대한 IAMAllowedPrincipal 그룹 권한** - `DataLakeSettings`를 기반으로 Lake Formation은 모든 데이터베이스 및 테이블에 대한 권한을 `IAMAllowedPrincipal`이라는 가상 그룹에 설정할 수 있습니다. 는 IAM 보안 주체 정책 및 리소스 정책을 통해 데이터 카탈로그 AWS Glue 리소스에 액세스할 수 있는 모든 IAM 보안 주체를 `IAMAllowedPrincipal` 나타냅니다. 데이터베이스 또는 테이블에 이러한 권한이 있는 경우 모든 보안 주체에게 데이터베이스 또는 테이블에 대한 액세스 권한이 부여됩니다. 그러나 Lake Formation은 페더레이션형 데이터베이스의 테이블에 대한 `IAMAllowedPrincipal` 권한을 허용하지 않습니다. 페더레이션형 데이터베이스를 생성할 때는 `CreateTableDefaultPermissions` 파라미터를 빈 목록으로 전달해야 합니다. 자세한 내용은 [데이터 레이크의 기본 설정 변경](change-settings.md) 단원을 참조하십시오. + **데이터 필터링** - Lake Formation에서는 열 수준 및 행 수준 필터링을 사용하여 페더레이션된 데이터베이스의 테이블에 대한 권한을 부여할 수 있습니다. 하지만 열 수준 필터링과 행 수준 필터링을 결합하여 페더레이션된 데이터베이스의 테이블에 대한 액세스를 셀 수준 세분성으로 제한할 수는 없습니다. + **대/소문자 구분 식별자** - Lake Formation에서 관리하는 Amazon Redshift 데이터 공유 객체는 소문자의 테이블 이름과 열 이름만 지원합니다. Lake Formation을 사용하여 공유 및 관리하려는 경우 Amazon Redshift 데이터 공유의 데이터베이스, 테이블 및 열에 대해 대/소문자 구분 식별자를 활성화하면 안 됩니다. + **쿼리 지원** - Amazon Redshift를 사용하여 Lake Formation에서 관리하는 Amazon Redshift 데이터 공유를 쿼리할 수 있습니다. Athena는 Lake Formation에서 관리하는 Amazon Redshift 데이터 공유 쿼리를 지원하지 않습니다. Amazon Redshift에서 데이터 공유 작업 시 제한 사항에 대한 자세한 내용은 Amazon Redshift 데이터베이스 개발자 안내서의 [데이터 공유 제한 사항](https://docs.aws.amazon.com/redshift/latest/dg/datashare-overview.html#limitations-datashare) 섹션을 참조하세요. # IAM Identity Center 통합 제한 사항 를 사용하면 ID 제공업체(IdPs)에 연결하고 AWS 분석 서비스 전반에서 사용자 및 그룹에 대한 액세스를 중앙에서 관리할 AWS IAM Identity Center수 있습니다. IAM Identity Center에서를 활성화된 애플리케이션 AWS Lake Formation 으로 구성할 수 있으며, 데이터 레이크 관리자는 AWS Glue Data Catalog 리소스의 승인된 사용자 및 그룹에 세분화된 권한을 부여할 수 있습니다. Lake Formation과 IAM Identity Center 통합에는 다음과 같은 제한 사항이 적용됩니다. + Lake Formation에서는 IAM Identity Center 사용자 및 그룹을 데이터 레이크 관리자 또는 읽기 전용 관리자로 할당할 수 없습니다. 사용자를 대신하여 데이터 카탈로그 암호화 및 복호화에 맡을 수 있는 IAM 역할을 사용하는 경우 IAM Identity Center 사용자 및 그룹은 암호화된 데이터 카탈로그 리소스를 쿼리할 AWS Glue 수 있습니다. AWS 관리형 키는 신뢰할 수 있는 ID 전파를 지원하지 않습니다. + IAM Identity Center 사용자 및 그룹은 IAM Identity Center에서 제공하는 `AWSIAMIdentityCenterAllowListForIdentityContext` 정책에 나열된 API 작업만 호출할 수 있습니다. + Lake Formation은 외부 계정의 IAM 역할이 데이터 카탈로그 리소스에 액세스하기 위한 IAM Identity Center 사용자 및 그룹을 대신하여 통신 사업자 역할을 수행하도록 허용하지만 소유 계정 내의 데이터 카탈로그 리소스에 대해서만 권한을 부여할 수 있습니다. 외부 계정의 데이터 카탈로그 리소스에 대한 IAM Identity Center 사용자 및 그룹에 권한을 부여하려고 할 경우 Lake Formation에서 “보안 주체에 대해 교차 계정 권한 부여가 지원되지 않습니다.” 오류가 발생합니다. + IAM Identity Center에서 Lake Formation을 사용하는 경우 애플리케이션 할당 구성은 기본적으로 `false`로 설정됩니다. [IAM Identity Center API](https://docs.aws.amazon.com/singlesignon/latest/APIReference/API_PutApplicationAssignmentConfiguration.html)를 통해 이 구성을 직접 수정하는 경우 API를 사용하여 모든 애플리케이션 할당을 수동으로 관리해야 합니다. Lake Formation은 표준 워크플로 외부에서 이루어진 할당 변경 사항을 자동으로 동기화하거나 관리하지 않으므로, 데이터 레이크 환경 내의 액세스 패턴 및 권한 부여 흐름에 영향을 미칠 수 있습니다. # Lake Formation 태그 기반 액세스 제어 모범 사례 및 고려 사항 LF 태그를 생성, 유지 관리 및 할당하여 데이터 카탈로그 데이터베이스, 테이블 및 열에 대한 액세스를 제어할 수 있습니다. Lake Formation 태그 기반 액세스 제어를 사용할 때는 다음 모범 사례를 고려하십시오. + 모든 LF 태그를 미리 정의해야 데이터 카탈로그 리소스에 할당하거나 보안 주체에 부여할 수 있습니다. 데이터 레이크 관리자는 필요한 IAM 권한을 가진 *LF 태그 생성자*를 생성하여 태그 관리 작업을 위임할 수 있습니다. 데이터 엔지니어와 분석가는 LF 태그의 특성과 관계를 결정합니다. 그러면 LF 태그 생성자가 Lake Formation에서 LF 태그를 생성하고 유지 관리합니다. + 데이터 카탈로그 리소스에 여러 LF 태그를 할당할 수 있습니다. 특정 키에 대해 하나의 값만 특정 리소스에 할당할 수 있습니다. 예를 들어 `module=Orders`, `region=West`, `division=Consumer` 등을 데이터베이스, 테이블 또는 열에 할당할 수 있습니다. `module=Orders,Customers`는 할당할 수 없습니다. + 리소스를 생성할 때 LF 태그를 리소스에 할당할 수 없습니다. LF 태그는 기존 리소스에만 추가할 수 있습니다. + 단일 LF 태그뿐만 아니라 LF 태그 표현식을 보안 주체에 부여할 수 있습니다. LF 태그 표현식은 다음과 유사합니다(의사 코드 기준). ``` module=sales AND division=(consumer OR commercial) ``` 이 LF 태그 표현식이 부여된 보안 주체는 `module=sales` *및* `division=consumer` 또는 `division=commercial`이 할당된 데이터 카탈로그 리소스(데이터베이스, 테이블 및 열)에만 액세스할 수 있습니다. 보안 주체가 `module=sales` *또는* `division=commercial` 조건을 가진 리소스에 액세스할 수 있도록 하려면 동일한 권한 부여에 두 가지를 모두 포함하지 마세요. 각각 `module=sales`와 `division=commercial`을 위한 두 개의 권한 부여를 만들어야 합니다. 가장 간단한 LF 태그 표현식은 LF 태그 하나로만 구성됩니다(예: `module=sales`). + 값이 여러 개인 LF 태그에 대한 권한이 부여된 보안 주체는 해당 값 중 하나를 사용하여 데이터 카탈로그 리소스에 액세스할 수 있습니다. 예를 들어 사용자에게 키가 `module`이고 값이 `orders,customers`인 LF 태그가 부여된 경우 사용자는 `module=orders` 또는 `module=customers` 중 하나가 할당된 리소스에 액세스할 수 있습니다. + LF-TBAC 방법을 사용하여 데이터 카탈로그 리소스에 대한 데이터 권한을 부여하려면 `Grant with LF-Tag expressions` 권한이 있어야 합니다. 데이터 레이크 관리자와 LF 태그 생성자는 이 권한을 묵시적으로 수신합니다. `Grant with LFTag expressions` 권한이 있는 보안 주체는 다음을 사용하여 리소스에 대한 데이터 권한을 부여할 수 있습니다. + 명명된 리소스 방법 + LF-TBAC 방법, 단 동일한 LF 태그 표현식만 사용 예를 들어, 데이터 레이크 관리자가 다음과 같은 권한 부여를 만든다고 가정합니다(의사 코드 기준). ``` GRANT (SELECT ON TABLES) ON TAGS module=customers, region=west,south TO user1 WITH GRANT OPTION ``` 이 경우 `user1`은 LF-TBAC 방법을 사용하여 다른 보안 주체에 테이블에 대한 `SELECT` 권한을 부여할 수 있지만 완전한 LF 태그 표현식 `module=customers, region=west,south`를 사용해야 합니다. + 보안 주체에 리소스에 대한 권한을 부여할 때 LF-TBAC 방법과 명명된 리소스 방법이 모두 사용된 경우 해당 보안 주체가 리소스에 대해 갖는 권한은 두 방법에 의해 부여된 권한의 합입니다. + Lake Formation은 계정 전반에서 LF 태그에 대한 `DESCRIBE` 및 `ASSOCIATE` 부여를 지원하고 LF-TBAC 방법을 사용하여 계정 전반에서 데이터 카탈로그 리소스에 대한 권한 부여를 지원합니다. 두 경우 모두 보안 주체는 AWS 계정 ID입니다. **참고** Lake Formation은 LF-TBAC 방법을 사용하여 조직 및 조직 단위에 대한 교차 계정 권한 부여를 지원합니다. 이 기능을 사용하려면 **교차 계정 버전 설정**을 **버전 3**으로 업데이트해야 합니다. 자세한 내용은 [Lake Formation에서의 교차 계정 데이터 공유](cross-account-permissions.md) 단원을 참조하십시오. + 한 계정에서 생성된 데이터 카탈로그 리소스는 동일한 계정에서 생성된 LF 태그로만 태그를 지정할 수 있습니다. 한 계정에서 생성된 LF 태그는 다른 계정의 공유 리소스와 연결할 수 없습니다. + Lake Formation 태그 기반 액세스 제어(LF-TBAC)를 사용하여 데이터 카탈로그 리소스에 대한 교차 계정 액세스 권한을 부여하려면 AWS 계정의 데이터 카탈로그 리소스 정책을 추가해야 합니다. 자세한 내용은 [사전 조건](cross-account-prereqs.md) 단원을 참조하십시오. + LF 태그 키와 LF 태그 값의 길이는 50자를 초과할 수 없습니다. + 데이터 카탈로그 리소스에 할당할 수 있는 최대 LF 태그 수는 50개입니다. + 다음 제한은 소프트 제한입니다. + 생성 가능한 최대 LF 태그 수는 1000개입니다. + LF 태그에 정의할 수 있는 최대 값 수는 1000개입니다. + 태그 키와 값은 저장 시 모두 소문자로 변환됩니다. + LF 태그당 하나의 값만 특정 리소스에 할당할 수 있습니다. + 단일 권한 부여로 보안 주체 하나에 여러 LF 태그를 부여한 경우 보안 주체는 모든 LF 태그가 있는 데이터 카탈로그 리소스에만 액세스할 수 있습니다. + LF 태그 표현식 평가 결과 테이블 열의 하위 집합에만 액세스할 수 있지만 일치하는 항목이 있을 때 부여되는 Lake Formation 권한이 전체 열 액세스가 필요한 권한(즉, `Alter`, `Drop`, `Insert` 또는 `Delete`) 중 하나인 경우 해당 권한은 부여되지 않습니다. 대신 `Describe`만 부여됩니다. 부여된 권한이 `All`(`Super`)인 경우 `Select` 및 `Describe`만 부여됩니다. + 와일드카드는 LF 태그와 함께 사용되지 않습니다. 테이블의 모든 열에 LF 태그를 할당하려는 경우, 테이블에 LF 태그를 할당하면 테이블의 모든 열이 LF 태그를 상속합니다. 데이터베이스의 모든 테이블에 LF 태그를 할당하려는 경우, 데이터베이스에 LF 태그를 할당하면 데이터베이스의 모든 테이블이 해당 LF 태그를 상속합니다. + 계정에서 최대 1,000개의 LF 태그 표현식을 생성할 수 있습니다. + 최대 50개의 LF 태그 표현식을 사용하여 Data Catalog 리소스의 보안 주체에 권한을 부여할 수 있습니다. + 인라인 LF 태그 표현식에 대한 권한을 부여하거나 취소할 때 LF 태그 표현식의 크기는 900바이트를 초과할 수 없습니다. 더 큰 LF 태그 표현식에 대한 권한을 부여하려면 저장된 LF 태그 표현식을 사용합니다. 자세한 내용은 [LF 태그 표현식 생성](TBAC-creating-tag-expressions.md) 단원을 참조하십시오. + 페더레이션 카탈로그에 대한 LF 태그 지원의 정식 출시 이전에 생성된 기존 Redshift 페더레이션 카탈로그에 LF 태그를 추가하려면 AWS 지원 팀에 문의하여 지원을 받아야 합니다. # 속성 기반 액세스 제어 고려 사항, 제한 사항 및 지원되는 리전 속성 기반 액세스 제어(ABAC)에는 다음과 같은 고려 사항 및 제한 사항이 적용됩니다. + ABAC는 LF 태그 정책을 사용한 액세스 권한 부여를 지원하지 않습니다. + ABAC에서는 부여 가능한 권한을 사용할 수 없습니다. + ABAC는 IAM Identity Center 사용자에 대한 권한 부여를 지원하지 않습니다. + Lake Formation의 테이블에 ABAC 권한 부여를 사용하는 경우 Lake Formation은 상위 데이터베이스 또는 카탈로그에 `DESCRIBE` 권한을 부여하지 않습니다. 이는 Lake Formation이 상위 리소스에 대한 암시적 `DESCRIBE` 권한을 제공하는 비 ABAC 시나리오와 다릅니다. + `AmazonDataZoneProject` 태그 키가 있는 모든 보안 주체는 항상 모든 Data Catalog 리소스에 대해 Lake Formation에 옵트인된 것으로 처리됩니다. + ABAC는 문자열 속성만 지원합니다.