Amazon SageMaker NotebooksがTrusted Identity Propagation (TIP)をサポート開始

Amazon SageMaker Notebooks が Trusted Identity Propagation (TIP) をサポートしました。これにより、Amazon Athena、Amazon Redshift、Amazon EMR Serverless と連携し、ユーザー単位のアクセス制御が可能になります。

TIPが有効なプロジェクト内でTIP対応のコンピューティングに接続すると、ユーザーの IAM Identity Center アイデンティティが AWS Lake Formation に自動的に伝播され、個別の権限に基づいたテーブル、列、行レベルのアクセス制御が適用されます。これにより、単一の広範な実行ロールを共有する必要がなくなり、ユーザーごとのデータ境界が強制されます。また、CloudTrailによる監査トレースが可能となり、管理負荷も軽減されます。

本機能は Amazon SageMaker Unified Studio が利用可能なすべてのAWSリージョンで提供されています。

エンジニア視点での考察・アドバイス

解決される技術的課題

• データアクセスの粒度問題: 従来はノートブック全体で単一のIAMロールを共有していたため、ユーザーごとの細かいアクセス制御が困難でした。TIPにより、Lake Formationの行・列レベルのセキュリティがユーザー単位で適用可能になり、データガバナンスが大幅に強化されます。
• 監査の複雑さ: CloudTrailで「誰がどのデータにアクセスしたか」を正確に追跡できるようになり、コンプライアンス要件への対応が容易になります。
• 運用負荷の増大: 従来はユーザーごとにロールやトークンを管理する必要がありましたが、TIPにより自動伝播されるため、管理コストが削減されます。

日本リージョンの対応状況

• 東京リージョン (ap-northeast-1): 利用可能（公式ドキュメントにて明記）。
• 大阪リージョン (ap-northeast-3): 現時点で利用不可（Amazon SageMaker Unified Studio自体が未サポート）。 → 注意: 大阪リージョンを利用している場合は、東京リージョンへの移行を検討するか、TIPの利用開始を待つ必要があります。

実務での影響とアドバイス

• セキュリティ強化: 機密データを扱うプロジェクトでは、TIPを活用してユーザーごとのアクセス制限を設定することで、内部不正や誤操作のリスクを低減できます。
• コスト: TIP自体に追加料金は発生しませんが、Lake Formationの行・列レベルのセキュリティを設定するための初期構築コストが発生します。
• 移行時の注意点: 既存のノートブックで単一ロールを使用している場合、TIPへの移行時にユーザーごとの権限設定を見直す必要があります。

次のアクション

1. TIP有効化の確認: まずは SageMaker Unified Studio でTIPが有効なプロジェクトを作成し、Athena/Redshift/EMR Serverlessとの連携をテストします。
2. Lake Formationの設定: ユーザーごとのデータアクセスポリシーをLake Formationで定義し、TIPによる伝播が正しく機能するか検証します。
3. CloudTrailの確認: データアクセスの監査ログが正しく記録されているかを確認します。

参考ドキュメント

• Trusted Identity Propagation (SageMaker Unified Studio Administrator Guide)
• Notebooks (SageMaker Unified Studio User Guide)