기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# 메타데이터 액세스 제어를 위한 LF 태그 표현식 관리
LF 태그 표현식은 AWS Glue Data Catalog 리소스에 대한 권한을 부여하는 데 사용되는 하나 이상의 LF 태그(키-값 페어)로 구성된 논리적 표현식입니다. LF 태그 표현식을 사용하면 메타데이터 태그를 기반으로 데이터 리소스에 대한 액세스를 제어하는 규칙을 정의할 수 있습니다. 이러한 표현식을 저장하고 여러 권한 부여에서 재사용하여 일관성을 보장하고 시간이 지남에 따라 태그 온톨로지의 변경 사항을 쉽게 관리할 수 있습니다.
지정된 LF 태그 표현식 내에서 태그 키는 AND 작업을 사용하여 결합되고 값은 OR 작업을 사용하여 결합됩니다. 예를 들어, `content_type:Sales AND location:US` 태그 표현식은 미국의 판매 데이터와 관련된 리소스를 나타냅니다.
AWS 계정에서 최대 1,000개의 LF 태그 표현식을 생성할 수 있습니다. 이러한 표현식은 메타데이터 태그를 기반으로 권한을 관리하는 유연하고 확장 가능한 방법을 제공하므로, 권한이 부여된 사용자 또는 애플리케이션만 정의된 태그 규칙을 기반으로 특정 데이터 리소스에 액세스할 수 있습니다.
LF 태그 표현식은 다음과 같은 이점을 제공합니다.
+ **재사용성 **- LF 태그 표현식을 정의하고 저장하면 다른 리소스 또는 보안 주체에 권한을 할당할 때 더 이상 동일한 표현식을 수동으로 복제할 필요가 없습니다.
+ **일관성 **- 여러 권한 부여에서 LF 태그 표현식을 재사용하면 권한이 부여되고 관리되는 방식의 일관성이 보장됩니다.
+ **태그 온톨로지 관리** - LF 태그 표현식을 사용하면 개별 권한 부여를 수정하는 대신 저장된 표현식을 업데이트할 수 있으므로, 시간 경과에 따른 태그 온톨로지 변경 사항을 관리하는 데 도움이 됩니다.
태그 기반 액세스 제어에 대한 자세한 내용은 [Lake Formation 태그 기반 액세스 제어](tag-based-access-control.md) 섹션을 참조하세요.
**LF 태그 표현식 생성자**
LF 태그 표현식 생성자는 LF 태그 표현식을 생성하고 관리할 권한이 있는 보안 주체입니다. 데이터 레이크 관리자는 Lake Formation 콘솔, CLI, API 또는 SDK를 사용하여 LF 태그 표현식 생성자를 추가할 수 있습니다. LF 태그 표현식 생성자는 LF 태그 표현식을 생성, 업데이트 및 삭제하고 다른 보안 주체에게 LF 태그 표현식 권한을 부여할 수 있는 암시적 Lake Formation 권한을 가집니다.
데이터 레이크 관리자가 아닌 LF 태그 표현식 생성자는 자신이 생성한 표현식에 대해서만 암시적 `Alter`, `Drop`, `Describe`, `Grant with LF-Tag expression` 권한을 받습니다.
또한, 데이터 레이크 관리자는 LF 태그 표현식 생성자에게 부여 가능한 `Create LF-Tag expression` 권한을 부여할 수 있습니다. 그러면 LF 태그 표현식 생성자는 LF 태그 표현식을 생성할 권한을 다른 보안 주체에 부여할 수 있습니다.
**Topics**
+ [LF 태그 표현식 생성에 필요한 IAM 권한](#tag-expression-creator-permissions)
+ [LF 태그 표현식 생성자 추가](#add-lf-tag-expression-creator)
+ [LF 태그 표현식 생성](TBAC-creating-tag-expressions.md)
+ [LF 태그 표현식 업데이트](TBAC-updating-expressions.md)
+ [LF 태그 표현식 삭제](TBAC-deleting-expressions.md)
+ [LF 태그 표현식 나열](TBAC-listing-expressions.md)
**다음 사항도 참조하세요.**
[LF 태그 값 권한 관리](TBAC-granting-tags.md)
[LF-TBAC 방법을 사용하여 데이터 레이크 권한 부여](granting-catalog-perms-TBAC.md)
[Lake Formation 태그 기반 액세스 제어](tag-based-access-control.md)
## LF 태그 표현식 생성에 필요한 IAM 권한
Lake Formation 보안 주체가 LF 태그 표현식을 생성하도록 권한을 구성해야 합니다. LF 태그 표현식 생성자가 되어야 하는 보안 주체에 대한 권한 정책에 다음 문을 추가합니다.
**참고**
데이터 레이크 관리자는 LF 태그 및 LF 태그 표현식을 생성, 업데이트 및 삭제하고, 리소스에 LF 태그를 할당하고, 보안 주체에 LF 태그 및 LF 태그 표현식 권한을 부여할 수 있는 암시적인 Lake Formation 권한을 가지고 있으나 다음과 같은 IAM 권한도 필요합니다.
자세한 내용은 [Lake Formation 페르소나 및 IAM 권한 참조](permissions-reference.md) 단원을 참조하십시오.
```
{
"Sid": "Transformational",
"Effect": "Allow",
"Action": [
"lakeformation:AddLFTagsToResource",
"lakeformation:RemoveLFTagsFromResource",
"lakeformation:GetResourceLFTags",
"lakeformation:ListLFTags",
"lakeformation:CreateLFTag",
"lakeformation:GetLFTag",
"lakeformation:UpdateLFTag",
"lakeformation:DeleteLFTag",
"lakeformation:SearchTablesByLFTags",
"lakeformation:SearchDatabasesByLFTags",
"lakeformation:CreateLFTagExpression",
"lakeformation:DeleteLFTagExpression",
"lakeformation:UpdateLFTagExpression",
"lakeformation:GetLFTagExpression",
"lakeformation:ListLFTagExpressions",
"lakeformation:GrantPermissions",
"lakeformation:RevokePermissions",
"lakeformation:BatchGrantPermissions",
"lakeformation:BatchRevokePermissions"
]
}
```
## LF 태그 표현식 생성자 추가
LF 태그 표현식 생성자는 재사용 가능한 LF 태그 표현식을 생성 및 저장하고, 태그 키 및 값을 업데이트하고, 표현식을 삭제하고, LF-TBAC 메서드를 사용하여 Data Catalog 리소스에 대한 권한을 보안 주체에 부여할 수 있습니다. LF 태그 표현식 생성자는 이러한 권한을 보안 주체에 부여할 수도 있습니다.
AWS Lake Formation 콘솔, API 또는 AWS Command Line Interface ()를 사용하여 LF 태그 표현식 생성자 역할을 생성할 수 있습니다AWS CLI.
------
#### [ console ]
**LF 태그 표현식 생성자를 추가하려면**
1. Lake Formation 콘솔([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/))을 엽니다.
데이터 레이크 관리자로 로그인합니다.
1. 탐색 창의 **권한**에서 **LF 태그 및 권한**을 선택합니다.
1. **LF 태그 표현식** 탭을 선택합니다.
1. **LF 태그 표현식 생성자** 섹션에서 **LF 태그 표현식 생성자 추가**를 선택합니다.
![\[Form to add LF-Tag expression creators with IAM 사용자 selection and permissions.\]](http://docs.aws.amazon.com/ko_kr/lake-formation/latest/dg/images/add-lf-tag-expression-creator.png)
1. **LF 태그 표현식 생성자 추가** 페이지에서 LF 태그 표현식을 생성하는 데 필요한 권한을 가진 IAM 역할 또는 사용자를 선택합니다.
1. `Create LF-Tag expression` 권한 확인란을 선택합니다.
1. (선택 사항) 선택한 보안 주체가 보안 주체에 `Create LF-Tag expression` 권한을 부여할 수 있도록 하려면 부여 가능한 `Create LF-Tag expression` 권한을 선택합니다.
1. **추가**를 선택합니다.
------
#### [ AWS CLI ]
```
aws lakeformation grant-permissions --cli-input-json file://grantCreate
{
"Principal": {
"DataLakePrincipalIdentifier": "arn:aws:iam::123456789012:user/tag-manager"
},
"Resource": {
"Catalog": {}
},
"Permissions": [
"CreateLFTagExpression"
],
"PermissionsWithGrantOption": [
"CreateLFTagExpression"
]
}
```
------
LF 태그 표현식 생성자 역할은 LF 태그 표현식을 생성, 업데이트 또는 삭제할 수 있습니다.
| 권한 | 설명 |
| --- | --- |
| Create | 이 권한이 있는 보안 주체는 데이터 레이크에 LF 태그 표현식을 추가할 수 있습니다. |
| Drop | LF 태그 표현식에 대한 이 권한이 있는 보안 주체는 데이터 레이크에서 LF 태그 표현식을 삭제할 수 있습니다. |
| Alter | LF 태그 표현식에 대한 이 권한이 있는 보안 주체는 LF 태그 표현식의 표현식 본문을 업데이트할 수 있습니다. |
| Describe | LF 태그 표현식에 대한 이 권한이 있는 보안 주체는 LF 태그 표현식의 내용을 볼 수 있습니다. |
| Grant with LF-Tag expression | 이 권한을 통해 수신자는 데이터 또는 메타데이터 액세스 권한을 부여할 때 태그 표현식을 리소스로 사용할 수 있습니다. Grant with LF-Tag expression 권한을 부여하면 암시적으로 Describe 권한이 부여됩니다. |
| Super | LF 태그 표현식의 경우 Super 권한은 태그 표현식에 대한 Describe, Alter, Drop 및 다른 보안 주체에게 권한을 부여할 수 있는 권한을 부여합니다. |
이러한 권한은 부여가 가능합니다. 권한 부여 옵션을 통해 이러한 권한을 부여받은 보안 주체는 다른 보안 주체에 해당 권한을 부여할 수 있습니다.
# LF 태그 표현식 생성
Lake Formation에서 모든 LF 태그를 정의하고 Data Catalog 리소스에 할당해야 표현식을 생성하는 데 사용할 수 있습니다. LF 태그 표현식은 하나 이상의 키와 각 키에 대해 하나 이상의 가능한 값으로 구성됩니다.
데이터 레이크 관리자가 LF 태그 표현식 생성자 역할에 필요한 IAM 권한 및 Lake Formation 권한을 설정하고 나면 보안 주체가 재사용 가능한 LF 태그 표현식을 생성할 수 있습니다. LF 태그 표현식 생성자는 표현식 본문을 업데이트하고 LF 태그 표현식을 삭제할 수 있는 암시적 권한을 얻습니다.
AWS Lake Formation 콘솔, API 또는 ()를 사용하여 LF 태그 표현식을 생성할 수 있습니다 AWS Command Line Interface AWS CLI.
------
#### [ Console ]
**LF 태그 표현식을 생성하려면**
1. Lake Formation 콘솔([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/))을 엽니다.
LF 태그 표현식 생성자 권한이 있는 보안 주체 또는 데이터 레이크 관리자로 로그인합니다.
1. 탐색 창의 **권한**에서 **LF 태그 및 권한을 선택합니다**.
1. **LF 태그 표현식**을 선택합니다. **LF 태그 표현식 추가 페이지**가 나타납니다.
![\[페이지에는 이름, 설명 및 표현식 본문을 선택하는 드롭다운을 추가하는 필드가 있습니다. 사용자는 권한을 부여할 수도 있습니다.\]](http://docs.aws.amazon.com/ko_kr/lake-formation/latest/dg/images/add-tag-expression.png)
1. 다음 정보를 입력합니다.
+ 이름 – 표현식의 고유한 이름을 입력합니다. 표현식 이름은 업데이트할 수 없습니다.
+ 설명 - 표현식의 세부 정보와 함께 표현식에 대한 선택적 설명을 제공합니다.
+ 표현식 - 태그 키와 관련 값을 지정하여 표현식을 생성합니다. 표현식당 최대 50개의 키를 추가할 수 있습니다. 표현식 본문의 모든 태그에 대해 `Grant with LF-Tags` Lake Formation 권한이 있어야 합니다.
키마다 값이 하나 이상 있어야 합니다. 값을 여러 개 입력하려면 쉼표로 구분된 목록을 입력한 다음 **Enter** 키를 누르거나 한 번에 값을 하나씩 입력한 다음 각각 **추가**를 선택합니다. 키당 허용되는 최대 값 수는 1,000입니다.
Lake Formation은 AND/OR 로직을 사용하여 표현식에 여러 키와 값을 결합합니다. 단일(키: 값 목록) 페어 내에서 값은 논리적 OR 연산자를 사용하여 결합됩니다. 예를 들어, 페어가 (Department : [Sales, Marketing])인 경우 리소스에 Department라는 태그가 있고 그 값이 Sales 또는 Marketing이면 태그가 일치한다는 의미입니다.
여러 키를 지정하면 AND 논리 연산자로 키가 조인됩니다. 따라서 전체 표현식이 (Department : [Sales, Marketing]) AND (Location : [US, Canada])인 경우 Department 태그에 Sales OR Marketing 값이 있고 Location 태그에도 US OR Canada 값이 있는 리소스와 일치합니다. 다음은 여러 키와 값이 있는 또 다른 예입니다.
LF 태그 표현식: (ContentType : [Video, Audio]) AND (Region : [Europe, Asia]) AND (Department : [Engineering, ProductManagement]).
이 표현식은 ContentType 태그에 Video OR Audio AND 값이 있고, Region 태그에 Europe OR Asia AND 값이 있고, Department 태그에 Engineering OR ProductManagement 값이 있는 리소스와 일치합니다.
LF 태그를 사용하여 데이터 레이크 권한을 부여할 때 태그 표현식을 저장할 수도 있습니다. 키 및 값 페어를 선택하고 **새 표현식으로 저장** 옵션을 선택합니다. 표현식을 설명하는 이름을 입력합니다.
![\[페이지에는 표현식 본문을 선택하는 필드와 이름을 입력하는 필드가 있습니다.\]](http://docs.aws.amazon.com/ko_kr/lake-formation/latest/dg/images/save-expression-grant.png)
1. (선택 사항) 다음으로 사용자/역할과 계정에서 부여하려는 표현식에 대한 권한을 선택합니다. 사용자가 계정의 다른 사용자에게 이러한 권한을 부여할 수 있도록 부여 가능한 권한을 선택할 수도 있습니다. 태그 표현식에 대한 교차 계정 권한을 부여할 수 없습니다.
![\[페이지에는 다른 보안 주체에게 부여할 권한을 선택할 수 있는 필드가 표시됩니다.\]](http://docs.aws.amazon.com/ko_kr/lake-formation/latest/dg/images/grant-expression-permissions.png)
1. **추가**를 선택합니다.
------
#### [ AWS CLI ]
**LF 태그 표현식을 생성하려면**
+ `create-lf-tag-expression` 명령을 입력합니다.
다음 예제에서는 `Department` 태그에 `Sales` 및 `Marketing` 값이 있고 `Location` 태그에 `US` 값이 있는 LF 태그 표현식을 생성합니다.
```
aws lakeformation create-lf-tag-expression \
-- name "my-tag-expression" \
-- catalog-id "123456789012" \
-- expression '{"Expression":[{"TagKey":"Department","TagValues":["Sales","Marketing"]},{"TagKey":"Location","TagValues":["US"]}]}'
```
이 CLI 명령은에서 새 LF 태그 표현식을 생성합니다 AWS Glue Data Catalog. 표현식은 연결된 태그를 기반으로 데이터베이스, 테이블, 보기 또는 열과 같은 Data Catalog 리소스에 권한을 부여하는 데 사용할 수 있습니다. 이 예제에서 표현식은 값이 `Sales` 또는 `Marketing`인 `Department` 키와 값이 `US`인 `Location` 키가 있는 리소스와 일치합니다.
------
태그 표현식 생성자로서 보안 주체는 이 LF 태그 표현식에 대한 `Alter` 권한을 얻고 표현식을 업데이트하거나 제거할 수 있습니다. 또한, LF 태그 표현식 생성자 보안 주체는 다른 보안 주체에게 `Alter` 권한을 부여하여 표현식을 업데이트하거나 제거하도록 할 수 있습니다.
# LF 태그 표현식 업데이트
데이터 레이크 관리자, LF 태그 표현식 생성자 및 LF 태그 표현식에 대한 `Alter` 또는 `Super` 권한을 가진 보안 주체만 LF 태그 표현식을 업데이트할 수 있습니다. `Alter` 권한 외에도 표현식을 업데이트하려면 새 표현식 본문의 모든 기본 키-값에 대한 `lakeformation:UpdateLFTagExpression` IAM 권한과 `Grant with LF-Tag` 권한이 필요합니다.
표현식에 부여된 설명, 표현식 본문 및 권한을 업데이트하여 LF 태그 표현식을 업데이트합니다. LF 태그 표현식의 이름은 변경할 수 없습니다. 이름을 변경하려면 LF 태그 표현식을 삭제하고 필요한 파라미터가 있는 태그를 추가합니다.
AWS Lake Formation 콘솔, API 또는 AWS Command Line Interface ()를 사용하여 LF 태그 표현식을 업데이트할 수 있습니다AWS CLI.
------
#### [ Console ]
**LF 태그 표현식을 업데이트하려면**
1. Lake Formation 콘솔([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/))을 엽니다.
데이터 레이크 관리자, LF 태그 생성자 또는 LF 태그에 대한 `Alter` 권한이 있는 보안 주체로 로그인합니다.
1. 탐색 창의 권한에서 **LF 태그 및 권한**을 선택합니다.
1. **LF 태그 표현식** 탭을 선택합니다.
1. **LF 태그 표현식** 섹션에서 LF 태그 표현식을 선택한 다음 **편집**을 선택합니다.
1. **LF 태그 표현식 편집** 대화 상자에서 설명을 업데이트하고 키와 값을 추가하거나 제거하여 표현식 본문을 업데이트합니다.
여러 값을 추가하려면 **값** 필드의 드롭다운에서 값을 선택합니다.
1. **저장**을 선택합니다.
------
#### [ AWS CLI ]
Lake Formation의 update-lf-tag-expression 명령을 사용하면 기존 LF 태그 표현식을 업데이트할 수 있습니다.
```
aws lakeformation update-lf-tag-expression \
-- name expression_name\
-- description new_description \
-- catalog-id catalog_id \
-- expression '{"Expression": [{"TagKey": "tag_key", "TagValues": ["tag_value1", "tag_value2", ...]}]}'
```
제공된 명령의 파라미터가 가지는 의미는 다음과 같습니다.
+ name - 업데이트하려는 기존 명명된 태그 표현식의 이름입니다.
+ description - 표현식에 대한 새 설명입니다.
catalog-id - 명명된 태그 표현식이 있는 Data Catalog의 ID입니다.
+ expression - 표현식을 업데이트하려는 새 태그 표현식 문자열입니다.
------
# LF 태그 표현식 삭제
더 이상 사용하지 않는 LF 태그 표현식을 삭제할 수 있습니다. LF 태그 표현식을 사용하여 Data Catalog 리소스에 대한 권한을 보안 주체에게 부여한 경우 더 이상 권한을 가지지 않습니다.
데이터 레이크 관리자, LF 태그 표현식 생성자 또는 LF 태그 표현식에 대한 `Drop` 권한이 있는 보안 주체만 LF 태그 표현식을 삭제할 수 있습니다. 보안 주체가 LF 태그 표현식을 삭제하려면 `Drop` 권한 외에 `lakeformation:DeleteLFTagExpression` IAM 권한도 필요합니다.
AWS Lake Formation 콘솔, API 또는 AWS Command Line Interface ()를 사용하여 LF 태그 표현식을 삭제할 수 있습니다AWS CLI.
------
#### [ Console ]
**LF 태그 표현식을 삭제하려면(콘솔)**
1. Lake Formation 콘솔([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/))을 엽니다.
데이터 레이크 관리자, LF 태그 표현식 생성자 또는 표현식을 삭제할 권한이 있는 보안 주체로 로그인합니다.
1. 탐색 창의 **권한**에서 **LF 태그 및 권한**을 선택합니다.
1. **LF 태그 표현식** 탭을 선택합니다.
1. **LF 태그 표현식** 섹션에서 LF 태그 표현식을 선택한 다음 **삭제**를 선택합니다.
1. **LF 태그 표현식을 삭제하시겠습니까?** 대화 상자에서, 삭제를 확인하려면 지정된 필드에 LF 태그 표현식 이름을 입력한 다음 **삭제**를 선택합니다.
------
#### [ AWS CLI ]
**LF 태그를 삭제하려면(AWS CLI)**
+ `delete-lf-tag-expression` 명령을 입력합니다. 삭제할 표현식 이름과 카탈로그 ID를 입력합니다.
**Example**
다음 예제에서는 ID가 `123456789012`인 Data Catalog에서 이름이 `my-tag-expression`인 LF 태그 표현식을 삭제합니다. AWS CLI 구성과 동일한 계정을 사용하는 경우 `catalog-id` 파라미터는 선택 사항입니다. LF 태그 표현식을 삭제한 후 Lake Formation은 해당 표현식에 연결된 권한 레코드를 정리합니다. 여기에는 개별 권한 레코드와 삭제된 표현식이 포함된 집계 권한 레코드가 모두 포함됩니다.
```
aws lakeformation delete-lf-tag-expression \
--name "my-tag-expression" \
--catalog-id "123456789012"
```
------
# LF 태그 표현식 나열
설명 권한이 있는 LF 태그 표현식을 나열할 수 있습니다. 데이터 레이크 관리자, LF 태그 표현식 생성자 및 읽기 전용 관리자는 계정의 모든 태그 표현식을 암시적으로 볼 수 있습니다.
AWS Lake Formation 콘솔, API 또는 ()를 사용하여 LF 태그 표현식을 나열할 수 있습니다 AWS Command Line Interface AWS CLI.
------
#### [ Console ]
**LF 태그 표현식을 나열하려면(콘솔)**
1. Lake Formation 콘솔([https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/))을 엽니다.
LF 태그 표현식 생성자, 데이터 레이크 관리자 또는 LF 태그 표현식에 대한 권한이 부여되고 `lakeformation:ListLFTagExpressions` IAM 권한이 있는 보안 주체로 로그인합니다.
1. 탐색 창의 **권한**에서 **LF 태그 및 권한**을 선택합니다.
1. **LF 태그 표현식** 탭을 선택하여 표현식을 확인합니다. 이 섹션에서는 표현식 이름, 포함된 태그에 대한 링크가 있는 표현식 자체, 표현식을 생성, 편집 또는 삭제하는 옵션을 포함하여 기존 LF 태그 표현식에 대한 정보를 보여줍니다.
------
#### [ AWS CLI ]
**LF 태그를 나열하려면(AWS CLI)**
+ 를 사용하여 LF 태그 표현식을 나열하려면 list-lf-tag-expressions 명령을 사용할 AWS CLI수 있습니다. 요청 구문은 다음과 같습니다.
```
aws lakeformation list-lf-tag-expressions \
-- catalog-id "123456789012" \
-- max-items "100" \
-- next-token "next-token"
```
위치:
+ `catalog-id`는에 대한 태그 표현식을 나열하려는 Data Catalog의 AWS 계정 ID입니다.
+ `max-items`는 반환할 최대 태그 표현식 수를 지정합니다. 이 파라미터를 사용하지 않으면 기본값은 100입니다.
+ `next-token`은 이전 요청에서 결과가 잘린 경우 연속 토큰입니다.
응답에는 LF 태그 표현식 목록과 해당하는 경우 다음 토큰이 포함됩니다.
------