Amazon Quickのデータアクセス管理を試してみた
こんにちは、こーへいです。
Amazon Quickの本番導入にあたり気になるところと言えば、データアクセス管理があると思います。
例えば以下の図のようにエンジニアにはエンジニア向けの、営業には営業向けのデータのみ閲覧できるようにしたいです。
Amazon Quickはデータ管理を強く意識しているサービス(Space機能などが特徴的)となっておりますが、具体的にどのようにこれを実現できるのか検証してみたのでご覧ください。
試してみた
エンジニア用のスペースを作成
まずはAmazon Quickの管理者のアカウントでエンジニア用のスペースを作成します。
スペースとはファイルや各種サービス(Slackなど)との接続設定をまとめて管理する機能のことです。この機能のおかげで利用者からはスペースにアクセスするだけで登録された各種データにアクセスすることができるようになり個別にデータ管理する必要がなくなります。
今回は用意したスペースにエンジニア用チャンネルへのアクセス権限のあるSlackの接続設定を登録しています。
Slackとの具体的な接続方法はこちらを参考に設定してください。
出来上がったのがこちらです。
続けてスペースの作成方法です。左のナビゲーションバーから「スペース」を選択します。
下記画像の通り「スペースを作成する」を押下し、次の画面のアクションからSlackとの連携を設定するだけです。
ちなみに作成したスペースを利用してAIに問い合わせると以下のようにSlackにアクセスできました。
エンジニアグループを作成する
次はエンジニアグループを作成します。Quickのアカウント管理にアクセスします。
「グループの管理」からグループの作成とユーザーの追加が行えます。画像を載せるほどの手順ではないので代わりに公式ドキュメントを載せておきます。
今回は「test-it」グループを作成しました。
エンジニアを1名招待しています。
「test-it」に作成したスペースを共有する
グループを作ったので作成したスペースを共有しましょう。
その前に本当に共有されていないか確認するため招待したエンジニアアカウントでログインし直してみましょう。
当然ですがグループを作成し、ユーザーを招待しただけなので管理者が作成したスペースは閲覧することができません。
ちなみにですが、Amazon Quick Sightのダッシュボードのドキュメントでは以下の記述もあり、デフォルトでは非共有者には恐らくダッシュボード以外も含めた各種データにアクセスできないみたいです。セキュアで良いですね。
Amazon Quick Sight のダッシュボードは、デフォルトでは誰とも共有されず、所有者のみがアクセスできます。
では改めて管理者アカウントでログインし直し、「test-it」グループにスペースの共有を行いましょう。
先ほど作成したスペースにアクセスし、画面右上の「共有」を押下します。
そうするとスペースを作成した管理者アカウントが共有先に表示されているのがわかると思います。今回は「test-it」を選択し、「共有」します。
デフォルトでは閲覧者として追加されましたが、所有者に変更することも可能です。
では再度、エンジニアアカウントでログインし直し、スペースにアクセスできるか確認しましょう。
下記の通り、無事に確認することができました、表示されない場合は「表示」から「すべてのスペース」に変更しましょう(※よく「最近使用された」になっていることが多くそのせいで表示されない場合が多いです)。
中を見てみるとSlackとの接続設定は利用できない状態でした、スペースに加えてSlack自体も共有しないといけないみたいです(ここはうまい感じにSlackにもアクセス許可を付随して与えられるものかと思ってましたが、、、)。
ということでSlackの権限も改めて共有します。ConnectorsからSlackに遷移し、スペースの共有と同様の流れで「test-it」に共有します。
無事にアクセスできました！
共有を削除したい場合
誤ったユーザーやグループに対して共有した場合は、先ほどの共有のところから個別に削除することができます。
スペースだと以下のように削除します。
Slackだと以下のように削除します。
アセット管理機能について
Quickの管理者の場合、アカウント管理の「アセットを管理」から一覧で各種アセット(先ほどのスペースやSlackとの接続設定など)の管理を行うことができます(Amazon Quick アセット管理)。
一覧で各種アセットを整理できます。
管理者であるためか、自分が所有していないアセットに対しても共有設定を行うことが可能で(もちろんここで管理者自身が使用できるように自分に共有することも可能)、組織的に利用していて管理しているアセットが多い場合は便利な画面となります。
ただし共有の削除できないみたいで(ドキュメントでは対応しているように見えるのですが、私の確認不足かもしれません)、削除については上記の通り、別個での対応が必要です。
(また各種アセットの詳細画面を開こうとすると、画面が真っ白になったりと若干使いにくい状態なのでこの辺りは改善を期待したいです)
まとめ
ということで、エンジニアグループにデータへのアクセス権を共有する方法を理解することができました。
今回はエンジニアグループのみでしたが、管理者や所有者が適切な単位でグループを作成することで、上記のような営業には営業のエンジニアにはエンジニアのデータのみアクセスできる環境が整えられることがわかったと思います。
このように手を動かすことで理解できたので、皆様も自信を持って組織への本格導入ができるようになったのではないでしょうか。
