Redshift で WLM のワークロードキューとアクセス権限を別のグルーピングで設定する

やりたいこと

• Redshift のユーザーについて、WLM とアクセス権限を別々のグルーピングを行いたい。
• WLM のワークロードキューで管理したいユーザー群とアクセス権限が同じユーザー群が異なるグルーピングになるため。

実装方法

• WLM（Workload Mangagement）のワークロードキューはユーザーグループで設定し、アクセス権限制御はロールで設定する。
• RBAC（Role Based Access Control）のアクセス権限機能（階層構造と継承など）を利用できるため、アクセス権限制御はロールを用いる。
• WLM 以下の理由でグループを使用する
  • ロールはアクセス権限制御を行うための機能のため。例えば、

    GRANT ROLE ロール名 TO ユーザー名

    で設定するが、グループは

    create user ユーザー名 ... in group グループ名

    で設定する。
  • アクセス権限とWLMの管理を人間が見てわかりやすいようグループを使用する。いずれもロールで設定すると、ユーザーが GRANT されているロールのどれがアクセス権限制御用ロールでどれがWLMのワークロードキュー用ロールか判断できない（ロール名の命名規則やロールの定義を見ればわかるが）。

検証ポイント

• ロールで設定通りのアクセス制御が行われること
• グループでWLM制御が行われること

構成要素（グループ・ユーザー・ロール・スキーマ・テーブル）

• ユーザーグループ
  • batch_group
    • batch_user_01
    • batch_user_02
  • adhoc_user_group
    • individual_user_01
    • individual_user_02
• ロール
  • system_role
    • batch_user_01
    • batch_user_02
  • individual_role
    • individual_user_01
    • individual_user_02
• スキーマ
  • system_schema
  • individual_schema
• テーブル
  • system_role がアクセスできるテーブル
    • system_schema.stg_tbl_01
    • system_schema.dwh_tbl_01
  • individual_role がアクセスできるテーブル
    • individual_schema.wrk_tbl_01
    • individual_schema.wrk_tbl_02

DDL

• グループ

CREATE GROUP batch_group;
CREATE GROUP adhoc_user_group;

• ユーザー

# バッチユーザー
CREATE USER batch_user_01 PASSWORD 'Password123!' IN GROUP batch_group;
CREATE USER batch_user_02 PASSWORD 'Password123!' IN GROUP batch_group;
# 個人ユーザー
CREATE USER individual_user_01 PASSWORD 'Password123!' IN GROUP adhoc_user_group;
CREATE USER individual_user_02 PASSWORD 'Password123!' IN GROUP adhoc_user_group;

• スキーマ

create schema system_schema;
create schema individual_schema;

• テーブル

CREATE TABLE system_schema.stg_tbl_01 (col1 VARCHAR(20)); # stg_tbl_01
CREATE TABLE system_schema.dwh_tbl_01 (col1 VARCHAR(20)); # dwh_tbl_01
CREATE TABLE individual_schema.wrk_tbl_01 (col1 VARCHAR(20)); # wrk_tbl_01
CREATE TABLE individual_schema.wrk_tbl_02 (col1 VARCHAR(20)); # wrk_tbl_02

• ロール

# ロールを作成
CREATE ROLE system_role;
CREATE ROLE individual_role;

• 権限付与

# ロールからスキーマへの権限を付与
GRANT USAGE ON SCHEMA system_schema TO ROLE system_role;
GRANT USAGE ON SCHEMA individual_schema TO ROLE individual_role;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA system_schema TO ROLE system_role;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA individual_schema TO ROLE individual_role;
# ユーザーにロール単位でアクセス権限を付与
GRANT ROLE system_role TO batch_user_01, batch_user_02;
GRANT ROLE individual_role TO individual_user_01, individual_user_02;

• システムビューで設定を確認する

dev=# SELECT * FROM svv_user_grants;
 user_id |                     user_name                      | role_id |    role_name    | admin_option 
---------+----------------------------------------------------+---------+-----------------+--------------
     181 | dm_admin_user                                      |  372701 | dm_admin_role   | f
     189 | ds:central_db_nsp_b77f35248f9446f9bc61b7d8a3026df5 |  871650 | ds:central_db   | f
     190 | batch_user_01                                      | 1157704 | system_role     | f
     191 | batch_user_02                                      | 1157704 | system_role     | f
     190 | batch_user_01                                      | 1157705 | individual_role | f
     192 | individual_user_01                                 | 1157705 | individual_role | f
     193 | individual_user_02                                 | 1157705 | individual_role | f
(7 rows)

WLM設定

検証結果

• サービスの機能検証をするわけではないので、網羅的なテストは実施していない。

[ec2-user@ip-172-31-0-101 ~]$ psql "host=redshift-cluster-poc-central.********.ap-northeast-1.redshift.amazonaws.com user=individual_user_01 dbname=dev port=5439" 
Password for user individual_user_01: 
psql (13.7, server 8.0.2)
SSL connection (protocol: TLSv1.2, cipher: ECDHE-RSA-AES256-GCM-SHA384, bits: 256, compression: off)
Type "help" for help.

dev=> select * from system_schema.stg_tbl_01;
ERROR:  permission denied for schema system_schema
dev=> select * from individual_schema.wrk_tbl_01;
 col1 
------
(0 rows)

dev=> 

参考

ロール・グループ・ユーザーの属性

• ロール

CREATE ROLE role_name
[ EXTERNALID external_id ]

• グループ

CREATE GROUP group_name
[ [ WITH ] [ USER username ] [, ...] ]

• ユーザー

CREATE USER name [ WITH ]
PASSWORD { 'password' | 'md5hash' | 'sha256hash' | DISABLE }
[ option [ ... ] ]

where option can be:

CREATEDB | NOCREATEDB
| CREATEUSER | NOCREATEUSER
| SYSLOG ACCESS { RESTRICTED | UNRESTRICTED }
| IN GROUP groupname [, ... ]
| VALID UNTIL 'abstime'
| CONNECTION LIMIT { limit | UNLIMITED }
| SESSION TIMEOUT limit
| EXTERNALID external_id

システムビュー

• SVV_USER_GRANTS - Amazon Redshift

GRANT ROLE role1 TO reguser;
GRANT ROLE role2 TO reguser;
GRANT ROLE role1 TO superuser;
GRANT ROLE role2 TO superuser;

SELECT user_name,role_name,admin_option FROM svv_user_grants;

 user_name | role_name | admin_option
-----------+-----------+--------------
 superuser |  role1    | False
 reguser   |  role1    | False
 superuser |  role2    | False
  reguser  |  role2    | False

URL

• CREATE GROUP - Amazon Redshift
• CREATE USER - Amazon Redshift
• GRANT - Amazon Redshift
• Amazon RedshiftでのRBACについて① #AWS - Qiita
• Amazon Redshift Roles (RBAC) | AWS re:Post
• Tutorial: Creating roles and querying with RBAC - Amazon Redshift
• SVV_USER_GRANTS - Amazon Redshift