AWS Glue Data CatalogがApache Iceberg RESTカタログの認証情報発行機能（Vended Credentials）をサポート

AWS Glue Data Catalogにおいて、Apache Iceberg RESTカタログ・フェデレーション時の「カタログ発行の認証情報（catalog-vended credentials）」がサポートされました。これにより、外部カタログが発行するS3ストレージプレフィックスに限定された一時的なセキュリティ認証情報を使用して、Amazon Athena, Amazon EMR, Amazon Redshift, AWS Glueから外部Icebergテーブルへの読み取りアクセスが可能になります。また、AWS Lake Formationによる行・列レベルのアクセス制御やアカウント間共有も引き続き利用可能です。

🛠️ 技術的なポイント：権限管理の最適化

従来のIAMロールベースの連携では、S3バケット全体への広範な権限を付与する必要があり、**最小権限の原則（Least Privilege）**を徹底することが困難でした。今回のアップデートで、外部カタログ側で認可されたテーブル（S3プレフィックス）のみにアクセスできる一時的な認証情報が利用可能になり、セキュリティ上のリスクを大幅に低減できます。

🇯🇵 日本リージョンでの利用状況

リサーチの結果、本機能はAWS GlueおよびAWS Lake Formationがサポートされているすべての商用リージョンで提供されており、東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）の両方で利用可能です。

💡 実務上のアドバイス

• セキュリティの強化: 外部カタログを運用している場合は、IAMロールによる静的な権限付与から、このVended Credentials方式への移行を検討してください。
• Lake Formationとの統合: 外部テーブルであってもLake Formationで詳細なアクセス制御（行・列レベル）をかけられるため、ガバナンスをAWS側で一元的に管理したい場合に非常に有効です。

🚀 次のアクション

まずは、外部Iceberg RESTカタログを構築し、AWS Lake FormationコンソールまたはCLIからフェデレーション設定を試行し、Athena等でクエリがk

📖 参照ドキュメント

• AWS Lake Formation ユーザーガイド: catalog-federation.html