オプション3: Amazon S3にアクセスするための AWS IAM ユーザー認証情報の設定¶

AWS アクセス制御の要件¶

Snowflakeでは、フォルダー（および任意のサブフォルダー）内のファイルにアクセスできるようにするために、S3バケットおよびフォルダーに対する次の権限が必要です。

• s3:GetBucketLocation

• s3:GetObject

• s3:GetObjectVersion

• s3:ListBucket

ベストプラクティスとして、Snowflakeは、S3バケットへのSnowflakeアクセス用に IAM ポリシーとユーザーを作成することをお勧めします。その後、ポリシーをユーザーに添付し、 AWS によって生成されたセキュリティ認証情報を使用して、ユーザーはバケット内のファイルにアクセスできます。

IAM ポリシーの作成¶

次の詳細な手順では、S3バケットを使用してデータをロードおよびアンロードできるように、AWS 管理コンソールでSnowflakeのアクセス許可を構成する方法について説明します。

1. AWS 管理コンソールにログインします。

2. ホームダッシュボードから、 IAM を検索して選択します。

3. 左側のナビゲーションペインから Account settings を選択します。

4. Endpoints リストの Security Token Service (STS) で、ご使用のアカウントが存在するSnowflake リージョン を見つけます。 STS status がアクティブでない場合は、トグルを Active に動かします。

5. 左側のナビゲーションペインから Policies を選択します。

6. Create Policy を選択します。

7. Policy editor には、 JSON を選択します。

8. SnowflakeがS3バケットとフォルダーにアクセスできるようにするポリシードキュメントを追加します。

   次のポリシー（ JSON 形式）は、指定されたバケットとフォルダーパスに必要なアクセス許可をSnowflakeに提供します。テキストをコピーしてポリシーエディターに貼り付けることができます。

   注釈

   • bucket と prefix を実際のバケット名とフォルダーパスプレフィックスに確実に置き換えます。

   • 政府リージョン のバケットのAmazonリソースネーム（ARN）には、 arn:aws-us-gov:s3::: プレフィックスがあります。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                 "s3:PutObject",
                 "s3:GetObject",
                 "s3:GetObjectVersion",
                 "s3:DeleteObject",
                 "s3:DeleteObjectVersion"
               ],
               "Resource": "arn:aws:s3:::<bucket_name>/<prefix>/*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetBucketLocation"
               ],
               "Resource": "arn:aws:s3:::<bucket_name>",
               "Condition": {
                   "StringLike": {
                       "s3:prefix": [
                           "<prefix>/*"
                       ]
                   }
               }
           }
       ]
   }
   

   Copy

   注釈

   "s3:prefix": 条件を ["*"] または ["< パス>/*"] に設定すると、指定されたバケット内のすべてのプレフィックスまたはバケット内のパスへのアクセスがそれぞれ許可されます。

9. Next を選択します。

10. Policy name （例: snowflake_access）とオプションの Description を入力します。

11. Create policy を選択します。