Q51 — AWS DEA-C01 第1章

第 51/100 题 | ← 返回第1章

一家公司在 Amazon S3 中的数据湖中存储数据。该公司在数据湖中存储的部分数据包含个人身份信息（PII）。多个用户组需要访问原始数据。公司必须确保各用户组只能访问其所需的 PII。

• A. 使用 Amazon Athena 查询数据。设置 AWS Lake Formation 并创建数据筛选器，为公司的 IAM 角色建立访问级别。将每个用户分配给与其 PII 访问要求匹配的 IAM 角色。 ✓
• B. 使用 Amazon QuickSight 访问数据。利用 QuickSight 中的列级安全功能，限制用户通过 Amazon Athena 从 Amazon S3 检索的 PII。根据用户的 PII 访问要求定义 QuickSight 访问级别。
• C. 构建一个自定义查询构建器 UI，后台运行 Athena 查询以访问数据。在 Amazon Cognito 中创建用户组。根据用户的 PII 访问要求为用户组分配访问级别。
• D. 创建具有不同粒度访问级别的 IAM 角色。将 IAM 角色分配给 IAM 用户组。使用基于身份的策略，在列级别为用户组分配访问级别。

正确答案: A. 使用 Amazon Athena 查询数据。设置 AWS Lake Formation 并创建数据筛选器，为公司的 IAM 角色建立访问级别。将每个用户分配给与其 PII 访问要求匹配的 IAM 角色。

解析

在这种情况下，选项A是最优解。使用Amazon Athena查询数据，并通过AWS Lake Formation创建数据过滤器来为公司的IAM角色设置访问级别，然后将每个用户分配到与其PII访问要求匹配的IAM角色，这种方式相对直接和高效。选项B中，虽然Amazon QuickSight有列级安全功能，但需要额外配置和依赖Athena，增加了复杂性。选项C构建自定义查询构建器UI较为繁琐，且需要额外处理后台的Athena查询和Amazon Cognito中的用户组。选项D中创建具有不同粒度访问级别的IAM角色，并在列级别为用户组分配访问级别，操作也相对复杂。综上所述，选项A所需努力最少，能满足需求，是正确答案。