Snowflake Data Clean Room：Amazon S3バケットからの外部データ¶

AWS で IAM ポリシーを作成する¶

Snowflakeでは、S3バケットへのアクセス許可を含むコネクタ専用の IAM ポリシーを作成することを推奨しています。この後の手順で、このポリシーを、コネクタのIDを表す IAM ロールに追加します。

この手順を完了するには、クリーンルーム環境に関連するアカウントのリージョンを知る必要があります。

• クリーンルーム環境に関連するアカウントのリージョンを見つけるには、 クリーンルームにログインし、 Connectors » Cleanrooms » Snowflake を選択します。

S3バケットへの許可を含む IAM ポリシーを作成するには：

1. AWS Management Console にサインインします。

2. Console Home ダッシュボードから、 Identity and Access Management (IAM) を選択します。

3. 左側のナビゲーションで Account settings を選択します。

4. Security Token Service (STS) セクションで、クリーンルーム環境に関連するアカウントのリージョンを見つけ、 Active を切り替えます。

5. 左側のナビゲーションで Policies を選択します。

6. Create policy を選択します。

7. Policy editor セクションで、 JSON を選択します。

8. 以下のポリシー本文をコピーしてポリシーエディターに貼り付け、 JSON を編集してバケット名（<バケット>）とフォルダーパスのプレフィックス（<プレフィックス>）を含めます。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion"
         ],
         "Resource": "arn:aws:s3:::<bucket>/<prefix>/*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:ListBucket",
           "s3:GetBucketLocation"
         ],
         "Resource": "arn:aws:s3:::<bucket>",
         "Condition": {
           "StringLike": {
             "s3:prefix": [
               "<prefix>/*"
             ]
           }
         }
       }
     ]
   }
   

   Copy

   必ず ::: 形式を維持してください。たとえば、s3バケット URI が s3://sales/customers/ の場合、 Resource JSON フィールドの値は arn:aws:s3:::sales/customers/* となります。

9. Next を選択します。

10. ポリシー名（たとえば、 snowflake_cleanroom_access）を入力し、 Create policy を選択します。

AWSでIAMロールを作成します。¶

AWS IAM ロールはコネクタのIDを表します。作成プロセスで、コネクタがS3バケットにアクセスするために必要なアクセス許可を付与する新しい IAM ポリシーにロールを関連付けます。

新しいIAMロールを作成するには：

1. AWS の Console Home ダッシュボードから、 Identity and Access Management (IAM) を選択します。

2. 左側のナビゲーションで Roles を選択します。

3. Create role を選択します。

4. Trusted entity type セクションで、 AWS account を選択します。

5. An AWS account セクションで、 Another AWS account を選択します。

6. Account ID フィールドに、12桁の仮のプレースホルダー値（例えば、現在の AWS 口座の口座識別子）を入力します。この値は後で置き換えます。

7. Require external id を選択し、 0000 のような仮のプレースホルダー値を入力します。この値は後で置き換えます。

8. Next を選択します。

9. Permissions policies セクションで、前の手順で作成したポリシーを見つけて、そのチェックボックスを選択します。

10. Next を選択します。

11. ロール名（例: snowflake_cleanroom_connector）を入力し、 Create role を選択します。

S3バケットと IAM ロールの識別子をコピーします。¶

クリーンルーム環境でコネクタを作成する場合、S3バケットと IAM ロールの識別子が必要になります。コネクタを作成する前に、以下の手順でこれらの識別子をコピーして保存してください。

IAMロール識別子をコピーするには：

1. AWS の Console Home ダッシュボードから、 Identity and Access Management (IAM) を選択します。

2. 左側のナビゲーションで Roles を選択します。

3. 前の手順で作成したロールを見つけ、それを選択して開きます。

4. Summary セクションで、 ARN を見つけ、コピーアイコンを選択します。このロール識別子は後のステップのために保存します。

S3バケットの識別子をコピーするには：

1. AWS の Console Home ダッシュボードから、 S3 を選択します。

2. S3バケットの名前を見つけ、それを選択して開きます。バケットにはクリーンルームに入れたいデータを入れてください。

3. バケットのプレフィックスに移動し、 Copy S3 URI を選択します。このバケットの識別子は、後のステップのために保存します。

   Objects セクションではボタンを選択しないでください。

コネクタを作成し、サービスアカウントの詳細をコピーする¶

これで、クリーンルーム環境でコネクタを作成する準備が整いました。コネクタを作成したら、そのサービスアカウントの詳細をコピーして、 AWS の IAM ロールに関連付ける必要があります。

クリーンルーム環境でコネクタを作成するには：

1. クリーンルームUI へのサインイン。

2. 左のナビゲーションで、 Connectors を選択し、 Amazon Web Services セクションを展開します。

3. AWS Role ARN フィールドに、 AWS からコピーした IAM ロールの識別子（arn:aws:iam::772412615275:role/mub00002_vhb71832_role など）を入力します。

4. S3 Bucket URI フィールドには、 AWS からコピーした S3 バケットの識別子（s3://sales/customer_data/ など）を入力します。

5. Create を選択します。

   クリーンルームは、AWSにアクセスするために使用するサービスアカウントを生成します。

6. コピーアイコンを使用して、コネクタのサービスアカウントの Principal および External ID 識別子をコピーし、次のタスクのために保存します。

サービスアカウントの詳細で IAM ロールを更新する¶

これで、コネクタのサービスアカウントに関連付けられた識別子でIAMロールを更新する準備ができました。IAMロールを更新するには：

1. AWS Management Console にサインインします。

2. Console Home ダッシュボードから、 Identity and Access Management (IAM) を選択します。

3. 左側のナビゲーションで Roles を選択します。

4. 先ほど作成したロールを探し、選択して開きます。

5. Trust relationships タブを選択します。

6. Edit trust policy を選択します。

7. コネクタのサービスアカウントの識別子を含めるように、信頼ポリシーのJSONを変更します。あなたは先ほど、これらの識別子をコピーしました。JSONに次の変更を加えます。

   • AWS JSON フィールドの値を、クリーンルーム環境からコピーした Principal の値に置き換えてください。

     以下の例では、クリーンルーム環境における Principal の値は arn:aws:iam::115136555074:user/x4gy-s-p2345g38 です。

   • sts:ExternalId JSON フィールドの値を、クリーンルーム環境からコピーした External ID の値に置き換えてください。

     以下の例では、クリーンルーム環境における External ID の値は UCA56729_SFCRole=4447_uht2344sdf3mrWLNRM0y3bE= です。

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "Statement1",
           "Effect": "Allow",
           "Principal": {
             "AWS": "arn:aws:iam::115136555074:user/x4gy-s-p2345g38"
           },
           "Action": "sts:AssumeRole",
           "Condition": {
             "StringEquals": {
               "sts:ExternalId": "UCA56729_SFCRole=4447_uht2344sdf3mrWLNRM0y3bE="
             }
           }
         }
       ]
     }
     

     Copy

8. Update policy を選択します。

コネクタの認証コード¶

これでS3バケットにアクセスできるようにコネクタを認証する準備ができました。コネクタを認証するためには：

1. クリーンルーム環境からサインアウトされた場合は、 クリーンルーム UI へのサインイン をご参照ください。

2. クリーンルーム環境で Connectors を選択し、 Amazon Web Services セクションを展開します。

3. 接続先のS3バケットを選択し、 Authenticate を選択します。