AWS Glue Data Catalog が Apache Iceberg REST Catalog API での OAuth 2.0 認証をサポート

AWS Glue Data Catalog は、Apache Iceberg REST Catalog (IRC) API において、AWS Sign-In を利用した OAuth 2.0 ベアラートークン認証をサポートしました。これにより、従来の AWS Signature Version 4 (SigV4) に加え、Apache Spark、Trino、Apache Flink などのクエリエンジンから、標準的な OAuth 2.0 プロトコルを用いた認証が可能になります。OAuth 2.0 Token Exchange (RFC 8693) を用いて OIDC ID トークンを Glue スコープの短期間トークンに交換することで、AWS 認証情報を直接配布することなく、外部パートナーやサードパーティ製分析プラットフォームへの安全なフェデレーションアクセスを実現します。アクセス制御は引き続き AWS IAM および AWS Lake Formation によって管理されます。

💡 技術的なポイントと解決される課題

これまで、外部の分析プラットフォームやパートナー企業に Apache Iceberg テーブルへのアクセスを許可する場合、AWS 認証情報（Access Key/Secret Key）を直接渡す必要があり、セキュリティ管理上の大きなリスクとなっていました。

今回のアップデートにより、OAuth 2.0 という Iceberg エコシステムで標準的な認証方式が Glue Data Catalog でも利用可能になります。これにより、**「AWS 認証情報を共有せずに、標準的な OIDC トークンベースで安全に権限を委譲する」**という、モダンでセキュアなデータ共有フローが構築できるようになります。

🇯🇵 日本国内リージョンでの利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で利用可能です。AWS Glue および AWS Lake Formation が提供されているため、国内のプロジェクトでもすぐに導入を検討できる環境にあります。

🛠 運用上のアドバイス

• セキュリティの強化: 認証方式が変わっても、実際のデータアクセス権限は引き続き AWS IAM および AWS Lake Formation で制御されます。OAuth トークンが発行できても、Lake Formation で許可されていなければデータは見えません。権限設計の整合性に注意してください。
• 互換性の確認: 使用しているクエリエンジン（Spark, Trino, Flink 等）が、Iceberg の REST Catalog 仕様における OAuth 2.0 実装をネイティブにサポートしているか、事前にバージョン確認を行うことを推奨します。

✅ 次のアクション

まずは、既存の外部連携フローにおいて、AWS 認証情報の配布を OAuth 2.0 Token Exchange に置き換えられるか、PoC（概念実証）を開始することをお勧めします。特に、サードパーティ製のデータプラットフォームを利用している場合は、そのプラットフォームが OIDC トークンの交換に対応しているかを確認しましょう。

📖 参考ドキュメント

• AWS Glue User Guide
• AWS Sign-In User Guide