オプション2: Amazon S3にアクセスするための AWS IAM ロールの設定 --- 廃止¶

ステップ1: S3バケットアクセス許可を構成する¶

ステップ2: AWS IAM ロールを作成する¶

AWS 管理コンソールで、データファイルを含むS3バケットに対する権限を付与する AWS IAM ロールを作成します。

1. AWS 管理コンソールにログインします。

2. ホームダッシュボードから、 Identity & Access Management （IAM）を選択します。

   

3. 左側のナビゲーションペインから Roles を選択します。

4. Create role ボタンをクリックします。

   

5. 信頼できるエンティティタイプとして Another AWS account を選択します。

6. Account ID フィールドに、自分の AWS アカウント ID を入力します。後で、信頼関係を変更し、Snowflakeへのアクセスを許可します。AWS リソース（つまり、S3）へのアクセスをサードパーティ（つまり、Snowflake）に対して許可するには、外部 ID が必要です。

7. Require external ID オプションを選択します。 0000 などのダミーの ID を入力します。後で信頼関係を変更し、Snowflakeステージの外部 ID を指定します。

8. Next ボタンをクリックします。

9. ステップ1：S3バケットアクセス許可を構成する （このトピック内）で作成したポリシーを検索し、このポリシーを選択します。

10. Next ボタンをクリックします。

    

11. ロールの名前と説明を入力し、 Create role ボタンをクリックします。

    これで、バケットの IAM ポリシー、および IAM ロールを作成し、ロールにポリシーを添付しました。

12. 役割の概要ページにある Role ARN 値を記録します。次の手順では、このロールをセキュリティ認証情報として参照するSnowflakeステージを作成します。

    

ステップ3: 外部ステージを作成する¶

作成した AWS ロールを参照する外部（つまり、S3）ステージを作成します。

1. CREATE STAGE コマンドを使用して外部ステージを作成するか、既存の外部ステージを変更して CREDENTIALS オプションを設定することを選択できます。

   注釈

   • 認証情報は、 ENCRYPTION や FILE_FORMAT などの他のステージパラメーターとは別に処理されます。これらの他のパラメーターのサポートは、外部S3バケットへのアクセスに使用する認証情報に関係なく同じです。

   • URL 値にスラッシュ（/）を追加して、指定したフォルダーパスにフィルターをかけます。スラッシュを省略すると、指定したパスのプレフィックスで始まるすべてのファイルとフォルダーが含まれます。

     ステージ内の非構造化データファイルにアクセスして取得するには、スラッシュが 必須 であることに注意してください。

   たとえば、 mydb.public をユーザーセッションの現在のデータベースおよびスキーマとして設定し、 my_S3_stage という名前のステージを作成します。この例では、ステージはS3バケットとパス mybucket/load/files を参照します。S3バケット内のファイルはサーバー側の暗号化（AWS_SSE_KMS）で暗号化されています。

   USE SCHEMA mydb.public;
   
   CREATE STAGE my_s3_stage
     URL='s3://mybucket/load/files'
     CREDENTIALS = (AWS_ROLE = 'arn:aws:iam::001234567890:role/mysnowflakerole')
     ENCRYPTION=(TYPE='AWS_SSE_KMS' KMS_KEY_ID = 'aws/key');
   

   Copy

2. DESCRIBE STAGE コマンドを実行して、ステージのプロパティを表示します。

   DESC STAGE my_S3_stage;
   
   +--------------------+--------------------------------+---------------+----------------------------------------------------------------+------------------+
   | parent_property    | property                       | property_type | property_value                                                 | property_default |
   |--------------------+--------------------------------+---------------+----------------------------------------------------------------+------------------|
   ...
   | STAGE_CREDENTIALS  | AWS_ROLE                       | String        | arn:aws:iam::001234567890:role/mysnowflakerole                 |                  |
   | STAGE_CREDENTIALS  | AWS_EXTERNAL_ID                | String        | MYACCOUNT_SFCRole=2_jYfRf+gT0xSH7G2q0RAODp00Cqw=               |                  |
   | STAGE_CREDENTIALS  | SNOWFLAKE_IAM_USER             | String        | arn:aws:iam::123456789001:user/vj4g-a-abcd1234                 |                  |
   +--------------------+--------------------------------+---------------+----------------------------------------------------------------+------------------+
   

   Copy

3. SNOWFLAKE_IAM_USER および AWS_EXTERNAL_ID プロパティの値を記録します。ここでは、

   SNOWFLAKE_IAM_USER:

   Snowflakeアカウント用に作成された AWS IAM ユーザー。このユーザーは、アカウントで作成されたすべての外部S3ステージで同じです。

   AWS_EXTERNAL_ID:

   特定のステージに割り当てられた一意の ID 。ID の形式は次のとおりです。

   snowflakeAccount_SFCRole=snowflakeRoleId_randomId

   この例で使用されている AWS_ROLE、 AWS_EXTERNAL_ID、および SNOWFLAKE_IAM_USER の値は、説明のみを目的としています。

   次のステップでは、生成された AWS 外部 IDを使用してSnowflake IAM ユーザーにアクセスを許可するように AWS IAM ロールを構成します。

ステップ4: ステージへのアクセスを許可するための AWS IAM ロールを構成する¶

AWS 管理コンソールで、 ステップ3：外部ステージのロールを作成する （このトピック内）で記録したステージプロパティを使用して、 IAM ロールを構成します。

1. AWS 管理コンソールにログインします。

2. ホームダッシュボードから、 Identity & Access Management （IAM）を選択します。

   

3. 左側のナビゲーションペインから Roles を選択し、 ステップ2： AWS IAM ロールを作成する （このトピック内）で作成したロールをクリックします。

4. Trust relationships タブをクリックして、 Edit trust relationship ボタンをクリックします。

5. Policy Document フィールドで、ステージのプロパティ値でポリシーを更新します。

   • AWS： SNOWFLAKE_IAM_USER ステージプロパティの ARN を入力します。つまり、この例では、 arn:aws:iam::123456789001:user/vj4g-a-abcd1234 です。

   • sts:ExternalId: 生成された外部 ID、つまり、 MYACCOUNT_SFCRole=2_jYfRf+gT0xSH7G2q0RAODp00Cqw= を入力します。

     {
         "Version": "2012-10-17",
         "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::123456789001:user/vj4g-a-abcd1234"
                   ]
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "sts:ExternalId": "MYACCOUNT_SFCRole=2_jYfRf+gT0xSH7G2q0RAODp00Cqw="
                   }
               }
           }
         ]
     }
     

     Copy

     注釈

     上記の信頼ポリシーにより、Snowflakeアカウントの単一の外部ステージは IAM ロールを引き受けることができます。これは最も制限の厳しい信頼ポリシーであるため、最も安全です。

     IAM ロールを引き受ける許可は、外部 IDに関連付けられています。外部 ID の形式は次のとおりです。

     snowflake_account_SFCRole=snowflake_role_id_random_id

     条件:

     • snowflake_account は、Snowflakeアカウントに割り当てられた名前です。

     • snowflake_role_id は、 ステップ3：外部ステージのロールを作成する （このトピック内）で、ステージを作成したSnowflakeロールに割り当てられた ID です。

       現在の例では、 snowflake_role_id の値は 2 です。この ID は、Snowflakeアカウントの単一のロールに関連付けられています。この ID の目的は、外部ステージの信頼ポリシーに限定されています。そのため、Snowflakeロールの IDs へのマッピングは使用できません。特定のロールのロール ID は、 DESCRIBE STAGE 出力の AWS_EXTERNAL_ID 値でのみ公開されます。ベストプラクティスとして、外部S3ステージを作成する機能を単一のSnowflakeロールに制限します。

       ステージを作成するロールは、必ずしもステージの所有者（つまり、ステージで OWNERSHIP 権限を持つロール）と同じではありません。ステージの所有権は、後で信頼ポリシーに対応する変更を必要とせずに、別のロールに譲渡できます。

     セキュリティ上の理由から、新しいストレージ統合を作成する（または CREATE OR REPLACE STORAGE INTEGRATION 構文を使用して既存のストレージ統合を再作成する）と、その統合は異なる外部 ID を持つため、信頼ポリシーが変更されなければ IAM ロールを引き受けることはできません。

     安全性の低い一連の制限を持つ信頼ポリシー（つまり、アカウントのすべての外部ステージをサポートするポリシー）が必要な場合は、外部 ID の random_id をワイルドカード文字（*）に置き換えます。

     snowflake_account_SFCRole=snowflake_role_id_*、たとえば現在の例では MYACCOUNT_SFCRole=2_*。

     この外部 ID の形式では、同じSnowflakeロール（つまり、 SYSADMIN）を持つアカウントのユーザーが作成した外部S3ステージを許可して IAM ロールを引き継ぎ、さらに IAM ロールがアクセスするS3バケットを引き受けます。この安全性の低いタイプの信頼ポリシーを実装する場合は、 Condition を StringEquals から StringLike に変更する必要があります。

6. Update Trust Policy ボタンをクリックします。

これで、 AWS ロールを使用してS3バケットにアクセスするための1回限りの設定が完了しました。

次： AWS データファイルの暗号化