옵션 2: Amazon S3에 액세스하기 위한 AWS IAM 역할 구성하기 — 사용되지 않음¶

1단계: S3 버킷 액세스 허가 구성하기¶

2단계: AWS IAM 역할 만들기¶

AWS 관리 콘솔에서 데이터 파일이 포함된 S3 버킷에 대한 권한을 부여하는 AWS IAM 역할을 생성합니다.

1. AWS 관리 콘솔에 로그인합니다.

2. 홈 대시보드에서 Identity & Access Management (IAM)를 선택합니다.

   

3. 왼쪽 탐색 창에서 Roles 을 선택합니다.

4. Create role 버튼을 클릭합니다.

   

5. Another AWS account 을 신뢰할 수 있는 엔터티 타입으로 선택합니다.

6. Account ID 필드에 본인의 AWS 계정 ID를 입력합니다. 이후에 신뢰할 수 있는 관계를 수정하고 Snowflake에 대한 액세스 권한을 부여합니다. 이 지침의 뒷부분에서 AWS 리소스(즉, S3)에 대한 액세스 권한을 제3자(이 경우 Snowflake)에 부여하려면 외부 ID가 필요합니다.

7. Require external ID 옵션을 선택합니다. 0000 과 같은 더미 ID를 입력합니다. 이후에 신뢰 관계를 수정하고 Snowflake 스테이지에 대한 외부 ID를 지정합니다.

8. Next 버튼을 클릭합니다.

9. 이 항목의 1단계: S3 버킷 액세스 허가 구성하기 에서 생성한 정책을 찾아 이 정책을 선택합니다.

10. Next 버튼을 클릭합니다.

    

11. 역할의 이름과 설명을 입력하고 Create role 버튼을 클릭합니다.

    이제 버킷에 대한 IAM 정책을 생성하고 IAM 역할을 생성하며 정책을 역할에 연결했습니다.

12. 역할 요약 페이지에 있는 Role ARN 값을 기록합니다. 다음 단계에서는 이 역할을 보안 자격 증명으로 참조하는 Snowflake 스테이지를 생성합니다.

    

3단계: 외부 스테이지 만들기¶

생성한 AWS 역할을 참조하는 외부(즉, S3) 스테이지를 생성합니다.

1. CREATE STAGE 명령을 사용하여 외부 스테이지를 생성하거나 기존 외부 스테이지를 변경한 후 CREDENTIALS 옵션을 설정할 수 있습니다.

   참고

   • 자격 증명은 ENCRYPTION 및 FILE_FORMAT과 같은 다른 스테이지 매개 변수와 별도로 처리됩니다. 이러한 다른 매개 변수에 대한 지원은 외부 S3 버킷에 액세스하기 위해 사용되는 자격 증명에 관계없이 동일합니다.

   • 지정된 폴더 경로로 필터링할 URL 값에 슬래시(/)를 추가합니다. 슬래시를 생략하면 지정된 경로의 접두사로 시작하는 모든 파일과 폴더가 포함됩니다.

     스테이지에서 비정형 데이터 파일에 액세스하고 검색하려면 슬래시가 필수적입니다.

   예를 들어, mydb.public 을 사용자 세션의 현재 데이터베이스 및 스키마로 설정한 후 이름이 my_S3_stage 인 스테이지를 생성합니다. 이 예에서 스테이지는 S3 버킷 및 mybucket/load/files 경로를 참조합니다. S3 버킷의 파일은 서버 측 암호화(AWS_SSE_KMS)를 통해 암호화됩니다.

   USE SCHEMA mydb.public;
   
   CREATE STAGE my_s3_stage
     URL='s3://mybucket/load/files'
     CREDENTIALS = (AWS_ROLE = 'arn:aws:iam::001234567890:role/mysnowflakerole')
     ENCRYPTION=(TYPE='AWS_SSE_KMS' KMS_KEY_ID = 'aws/key');
   

   Copy

2. DESCRIBE STAGE 명령을 실행하여 스테이지 속성을 확인합니다.

   DESC STAGE my_S3_stage;
   
   +--------------------+--------------------------------+---------------+----------------------------------------------------------------+------------------+
   | parent_property    | property                       | property_type | property_value                                                 | property_default |
   |--------------------+--------------------------------+---------------+----------------------------------------------------------------+------------------|
   ...
   | STAGE_CREDENTIALS  | AWS_ROLE                       | String        | arn:aws:iam::001234567890:role/mysnowflakerole                 |                  |
   | STAGE_CREDENTIALS  | AWS_EXTERNAL_ID                | String        | MYACCOUNT_SFCRole=2_jYfRf+gT0xSH7G2q0RAODp00Cqw=               |                  |
   | STAGE_CREDENTIALS  | SNOWFLAKE_IAM_USER             | String        | arn:aws:iam::123456789001:user/vj4g-a-abcd1234                 |                  |
   +--------------------+--------------------------------+---------------+----------------------------------------------------------------+------------------+
   

   Copy

3. SNOWFLAKE_IAM_USER 및 AWS_EXTERNAL_ID 속성에 대한 값을 기록합니다. 여기서,

   SNOWFLAKE_IAM_USER:

   Snowflake 계정을 위해 생성된 AWS IAM 사용자입니다. 이 사용자는 계정에서 생성된 모든 외부 S3 스테이지에서 동일합니다.

   AWS_EXTERNAL_ID:

   특정 스테이지에 할당된 고유 ID입니다. ID의 형식은 다음과 같습니다.

   snowflakeAccount_SFCRole=snowflakeRoleId_randomId

   이 예에서 사용하는 AWS_ROLE, AWS_EXTERNAL_ID 및 SNOWFLAKE_IAM_USER 값은 설명 목적으로만 제공되었음에 유의하십시오.

   다음 단계에서는 생성된 AWS 외부 ID를 사용하여 Snowflake IAM 사용자에게 액세스 권한을 부여하도록 AWS IAM 역할을 구성합니다.

4단계: 스테이지에 대한 액세스를 허용하도록 AWS IAM 역할 구성하기¶

AWS 관리 콘솔에서, 이 항목의 3단계: 외부 스테이지 만들기 에서 기록한 스테이지 속성을 사용하여 IAM 역할을 구성합니다.

1. AWS 관리 콘솔에 로그인합니다.

2. 홈 대시보드에서 Identity & Access Management (IAM)를 선택합니다.

   

3. 왼쪽 탐색 창에서 Roles 을 선택하고 이 항목의 2단계: AWS IAM 역할 만들기 에서 생성한 역할을 클릭합니다.

4. Trust relationships 탭을 클릭하고 Edit trust relationship 버튼을 클릭합니다.

5. Policy Document 필드에서 스테이지에 대한 속성 값과 함께 정책을 업데이트합니다.

   • AWS: SNOWFLAKE_IAM_USER 스테이지 속성에 대한 ARN을 입력합니다. 즉, 이 예에서 제공된 arn:aws:iam::123456789001:user/vj4g-a-abcd1234 를 입력합니다.

   • sts:ExternalId: 생성된 외부 ID를 입력합니다. 즉, 이 예에서 제공된 MYACCOUNT_SFCRole=2_jYfRf+gT0xSH7G2q0RAODp00Cqw= 를 입력합니다.

     {
         "Version": "2012-10-17",
         "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": [
                       "arn:aws:iam::123456789001:user/vj4g-a-abcd1234"
                   ]
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "sts:ExternalId": "MYACCOUNT_SFCRole=2_jYfRf+gT0xSH7G2q0RAODp00Cqw="
                   }
               }
           }
         ]
     }
     

     Copy

     참고

     위의 신뢰 정책은 Snowflake 계정의 단일 외부 스테이지가 IAM 역할을 수행하도록 허용합니다. 이 정책은 가장 제한적인 신뢰 정책이므로 가장 보안이 우수합니다.

     IAM 역할을 수행할 수 있는 권한은 외부 ID와 연결됩니다. 외부 ID의 형식은 다음과 같습니다.

     snowflake_account_SFCRole=snowflake_role_id_random_id

     여기서

     • snowflake_account 는 Snowflake 계정에 할당된 이름입니다.

     • snowflake_role_id 는 이 항목의 3단계: 외부 스테이지 만들기 에서 스테이지를 생성한 Snowflake 역할에 할당된 ID입니다.

       현재 예에서 snowflake_role_id 값은 2 입니다. 이 ID는 Snowflake 계정의 단일 역할과 연결되어 있습니다. 이 ID의 목적은 외부 스테이지에 대한 신뢰 정책으로 제한되므로, IDs에 대한 Snowflake 역할 매핑은 사용할 수 없습니다. 할당된 역할에 대한 역할 ID는 DESCRIBE STAGE 출력의 AWS_EXTERNAL_ID 값에만 노출됩니다. 가장 좋은 방법은 외부 S3 스테이지를 생성하는 기능을 단일 Snowflake 역할로 제한하는 것입니다.

       스테이지를 생성하는 역할이 스테이지 소유자(즉, 스테이지에 대한 OWNERSHIP 권한이 있는 역할)와 반드시 동일한 것은 아닙니다. 스테이지의 소유권은 신뢰 정책에서 해당 내용을 변경하지 않고 나중에 다른 역할로 이전할 수 있습니다.

     보안상의 이유로 새 저장소 통합을 생성하면(또는 CREATE OR REPLACE STORAGEINTEGRATION 구문을 사용하여 기존 저장소 통합을 다시 생성) 결과 통합의 ID가 다르므로 신뢰 정책이 수정되는 경우를 제외하고 IAM 역할을 수행할 수 없습니다.

     보안 수준이 낮은 일련의 제한이 있는 신뢰 정책(즉, 계정의 모든 외부 스테이지를 지원하는 정책)이 필요한 경우 외부 ID의 random_id 를 와일드카드 문자(*)로 바꿉니다.

     snowflake_account_SFCRole=snowflake_role_id_* (예: 현재 예제의 MYACCOUNT_SFCRole=2_*).

     이 외부 ID 형식을 사용하면 계정에서 동일한 Snowflake 역할(즉, SYSADMIN)의 사용자가 생성한 모든 외부 S3 스테이지가 IAM 역할을 수행할 수 있으며, 그 결과 모든 S3 버킷에 IAM 역할이 액세스할 수 있습니다. 보안 수준이 낮은 이러한 유형의 신뢰 정책을 구현하려면 반드시 Condition 을 StringEquals 에서 StringLike 로 변경해야 합니다.

6. Update Trust Policy 버튼을 클릭합니다.

이제 AWS 역할을 사용하여 S3 버킷에 액세스하기 위한 일회성 설정이 완료되었습니다.

다음 항목: AWS 데이터 파일 암호화