Snowflake Data Clean Room: Amazon S3 버킷의 외부 데이터¶

AWS에서 IAM 정책 만들기¶

Snowflake는 S3 버킷에 액세스하는 데 필요한 권한이 포함된 커넥터 전용 IAM 정책을 만들 것을 권장합니다. 다음 단계에서는 커넥터의 ID를 나타내는 IAM 역할에 이 정책을 추가합니다.

이 절차를 완료하려면 클린룸 환경과 관련된 계정의 리전을 알아야 합니다.

• 클린룸 환경과 연결된 계정의 리전을 찾으려면 클린룸에 로그인 한 후 Connectors » Cleanrooms » Snowflake 를 선택합니다.

S3 버킷에 대한 권한이 포함된 IAM 정책을 생성하려면 다음을 수행합니다.

1. AWS Management Console 에 로그인합니다.

2. Console Home 대시보드에서 Identity and Access Management (IAM) 를 선택합니다.

3. 왼쪽 탐색 모음에서 Account settings 를 선택합니다.

4. Security Token Service (STS) 섹션에서 클린룸 환경과 연결된 계정의 리전을 찾아 Active 로 전환합니다.

5. 왼쪽 탐색 모음에서 Policies 를 선택합니다.

6. Create policy 를 선택합니다.

7. Policy editor 섹션에서 JSON 을 선택합니다.

8. 다음 정책 본문을 복사하여 정책 편집기에 붙여넣은 다음, 버킷 이름(<bucket>)과 폴더 경로 접두사(<prefix>)가 포함되도록 JSON을 편집합니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "s3:GetObject",
           "s3:GetObjectVersion"
         ],
         "Resource": "arn:aws:s3:::<bucket>/<prefix>/*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "s3:ListBucket",
           "s3:GetBucketLocation"
         ],
         "Resource": "arn:aws:s3:::<bucket>",
         "Condition": {
           "StringLike": {
             "s3:prefix": [
               "<prefix>/*"
             ]
           }
         }
       }
     ]
   }
   

   Copy

   ::: 형식을 유지해야 합니다. 예를 들어, S3 버킷 URI가 s3://sales/customers/ 인 경우 Resource JSON 필드의 값은 arn:aws:s3:::sales/customers/* 입니다.

9. Next 를 선택합니다.

10. 정책 이름(예: snowflake_cleanroom_access)을 입력한 다음 Create policy 를 선택합니다.

AWS에서 IAM 역할을 만듭니다.¶

AWS IAM 역할은 커넥터의 ID를 나타냅니다. 생성 프로세스 중에 커넥터가 S3 버킷에 액세스하는 데 필요한 권한을 부여하는 새로운 IAM 정책과 역할을 연결합니다.

새 IAM 역할을 만들려면:

1. AWS의 Console Home 대시보드에서 Identity and Access Management (IAM) 을 선택합니다.

2. 왼쪽 탐색 모음에서 Roles 를 선택합니다.

3. Create role 을 선택합니다.

4. Trusted entity type 섹션에서 AWS account 을 선택합니다.

5. An AWS account 섹션에서 Another AWS account 을 선택합니다.

6. Account ID 필드에 12자리 숫자가 포함된 임시 자리 표시자 값(예: 현재 AWS 계정의 계정 식별자)을 입력합니다. 이 값은 나중에 변경합니다.

7. Require external id 를 선택한 다음 임시 자리 표시자 값(예: 0000)을 입력합니다. 이 값은 나중에 변경합니다.

8. Next 를 선택합니다.

9. Permissions policies 섹션에서 이전 프로시저에서 만든 정책을 찾아 해당 확인란을 선택합니다.

10. Next 를 선택합니다.

11. 역할 이름(예: snowflake_cleanroom_connector)을 입력한 다음 Create role 을 선택합니다.

S3 버킷 및 IAM 역할 식별자 복사¶

클린룸 환경에서 커넥터를 생성할 때는 S3 버킷의 식별자와 IAM 역할이 필요합니다. 커넥터를 만들기 전에 다음 단계에 따라 이러한 식별자를 복사하여 저장합니다.

역할 식별자를 복사하려면 IAM 역할 식별자를 복사합니다.

1. AWS의 Console Home 대시보드에서 Identity and Access Management (IAM) 을 선택합니다.

2. 왼쪽 탐색 모음에서 Roles 를 선택합니다.

3. 이전 절차에서 생성한 역할을 찾아 선택하여 엽니다.

4. Summary 섹션에서 ARN 을 찾아 복사 아이콘을 선택합니다. 나중 단계를 위해 이 역할 식별자를 저장합니다.

S3 버킷 식별자를 복사하려면:

1. AWS의 Console Home 대시보드에서 S3 를 선택합니다.

2. S3 버킷의 이름을 찾아 선택하여 엽니다. 버킷에는 클린룸에 포함시킬 데이터가 들어 있어야 합니다.

3. 버킷의 접두사로 이동한 다음 Copy S3 URI 를 선택합니다. 나중 단계를 위해 이 버킷 식별자를 저장합니다.

   Objects 섹션의 버튼을 선택하지 마십시오.

커넥터를 생성하고 서비스 계정 세부 정보를 복사합니다.¶

이제 클린룸 환경에서 커넥터를 생성할 준비가 되었습니다. 커넥터를 생성한 후에는 해당 서비스 계정에 대한 세부 정보를 복사하여 AWS의 IAM 역할과 연결할 수 있도록 합니다.

클린룸 환경에서 커넥터를 생성하려면:

1. Snowflake Data Clean Rooms 로그인 페이지 로 이동합니다.

2. 이메일 주소를 입력하고 Continue 를 선택합니다.

3. 비밀번호를 입력합니다.

4. 여러 개의 클린룸 환경과 연결되어 있는 경우, 사용할 Snowflake 계정을 선택합니다.

5. 왼쪽 탐색에서 Connectors 를 선택한 다음 Amazon Web Services 섹션을 확장합니다.

6. AWS Role ARN 필드에 AWS에서 복사한 IAM 역할의 식별자(예: arn:aws:iam::772412615275:role/mub00002_vhb71832_role)를 입력합니다.

7. S3 Bucket URI 필드에 AWS에서 복사한 S3 버킷의 식별자(예: s3://sales/customer_data/)를 입력합니다.

8. Create 를 선택합니다.

   클린룸이 AWS에 액세스하는 데 사용하는 서비스 계정을 생성합니다.

9. 복사 아이콘을 사용하여 커넥터의 서비스 계정의 Principal 및 External ID 식별자를 복사하고 다음 프로시저를 위해 저장합니다.

서비스 계정 세부 정보로 IAM 역할 업데이트¶

이제 커넥터의 서비스 계정과 연결된 식별자로 IAM 역할을 업데이트할 준비가 되었습니다. IAM 역할을 업데이트하려면:

1. AWS Management Console 에 로그인합니다.

2. Console Home 대시보드에서 Identity and Access Management (IAM) 를 선택합니다.

3. 왼쪽 탐색 모음에서 Roles 를 선택합니다.

4. 이전에 생성한 역할을 찾아서 선택하여 엽니다.

5. Trust relationships 탭을 선택합니다.

6. Edit trust policy 를 선택합니다.

7. 커넥터의 서비스 계정의 식별자를 포함하도록 신뢰 정책의 JSON을 수정합니다. 앞서 이러한 식별자를 복사했습니다. JSON 에 대해 다음과 같이 변경합니다.

   • AWS JSON 필드의 값을 클린룸 환경에서 복사한 Principal 값으로 바꿉니다.

     다음 예제에서 클린룸 환경에서 Principal 의 값은 arn:aws:iam::115136555074:user/x4gy-s-p2345g38 입니다.

   • sts:ExternalId JSON 필드의 값을 클린룸 환경에서 복사한 External ID 값으로 바꿉니다.

     다음 예제에서 클린룸 환경에서 External ID 의 값은 UCA56729_SFCRole=4447_uht2344sdf3mrWLNRM0y3bE= 입니다.

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "Statement1",
           "Effect": "Allow",
           "Principal": {
             "AWS": "arn:aws:iam::115136555074:user/x4gy-s-p2345g38"
           },
           "Action": "sts:AssumeRole",
           "Condition": {
             "StringEquals": {
               "sts:ExternalId": "UCA56729_SFCRole=4447_uht2344sdf3mrWLNRM0y3bE="
             }
           }
         }
       ]
     }
     

     Copy

8. Update policy 를 선택합니다.

커넥터 인증¶

이제 커넥터가 S3 버킷에 액세스할 수 있는지 확인하기 위해 인증할 준비가 되었습니다. 커넥터를 인증하려면:

1. 클린룸 환경에서 로그아웃된 경우 웹 앱에 로그인합니다. 섹션을 참조하십시오.

2. 클린룸 환경에서 Connectors 를 선택하고 Amazon Web Services 섹션을 확장합니다.

3. 연결할 S3 버킷을 선택한 다음 Authenticate 를 선택합니다.