<\/figure><\/div>\n\n\n<\/p>\n\n\n\n
Un altro consiglio \u00e8 quello di dedicare del tempo all’aggiunta di metadati e descrizioni a database, tabelle e colonne per migliorare la scopribilit\u00e0. Ad esempio, puoi aggiungere descrizioni aziendali in modo che gli utenti business possano utilizzare la propria terminologia per trovare i dati giusti, riducendo drasticamente il tempo speso nella scoperta dei dati.<\/p>\n\n\n\n
Un’altra best practice \u00e8 associare i tag ai dati all’interno di AWS LakeFormation. Gli LF-Tags<\/strong> (Lake Formation Tags) sono coppie chiave-valore associabili a database, tabelle e colonne per descrivere caratteristiche come la sensibilit\u00e0 dei dati, il dominio aziendale o qualsiasi altra entit\u00e0 rilevante.<\/p>\n\n\n\nUtilizzeremo questi tag successivamente per implementare il controllo degli accessi basato sugli attributi (ABAC), un approccio molto pi\u00f9 scalabile rispetto al tradizionale controllo degli accessi basato sui ruoli.<\/p>\n\n\n\n
Governance dei Dati<\/h4>\n\n\n\n Ora che abbiamo tutte le fonti nel nostro data lake, iniziamo a costruire le basi per eseguire l’amministrazione del data lake e concedere l’accesso ai dati in modo semplice.<\/p>\n\n\n\n
Come menzionato in precedenza, iniziamo definendo la nostra strategia di tag con LF-Tags per implementare il controllo degli accessi basato sugli attributi (ABAC) e gestire l’accesso ai dati su larga scala. Questo passaggio \u00e8 cruciale per la democratizzazione dei dati poich\u00e9 utilizzeremo questi tag sia per concedere l’accesso a tali dati sia per consentire agli utenti di auto-scoprire i dati a loro necessari.<\/p>\n\n\n\n
Nel nostro esempio, abbiamo sviluppato questa semplice strategia:<\/p>\n\n\n\n
\nArea: Marketing, Sales<\/li>\n\n\n\n Domain: Customers, Food, Electronics<\/li>\n\n\n\n Sensitivity: Public, Private, PII<\/li>\n<\/ul>\n\n\n\nDopo aver creato gli LF-Tags con i loro set di valori consentiti, possiamo iniziare ad assegnarli a database, tabelle o viste, e persino a colonne specifiche. Notare che gli LF-Tags vengono propagati nelle strutture di livello inferiore, quindi tutti i tag associati a un database saranno associati a tutte le sue tabelle. Allo stesso modo, tutti i tag associati a una tabella\/vista saranno associati a tutte le sue colonne.<\/p>\n\n\n\n
Il vero potere degli LF-Tags, rispetto agli approcci tradizionali, appare quando si implementano modelli di accesso complessi, essendo in grado di seguire il principio least-privilege con straordinaria precisione. I data steward possono creare politiche di accesso basate su tag che concedono automaticamente permessi agli utenti che possiedono tag corrispondenti nelle loro espressioni LF-Tag. Alcuni esempi rapidi basati sui nostri dati di esempio:<\/p>\n\n\n\n
\nUna policy che stabilisce che gli utenti con tag UserRole=FoodAnalyst<\/em> possono accedere a qualsiasi dato etichettato con Domain=Food<\/em> e Sensitivity=Public<\/em>.<\/li>\n\n\n\nUna policy che stabilisce che gli utenti con tag UserRole=MarketingAnalyst<\/em> possono accedere a qualsiasi dato etichettato con Sensitivity=PII<\/em>. Questo framework di classificazione \u00e8 molto utile per identificare rapidamente tutte le risorse contenenti PII, o altri tipi di dati regolamentati, in tutto il data lake. Possiamo usarlo per nascondere alcune colonne ad utenti che non hanno il permesso di vedere questo tipo di informazioni. Inoltre, permette una reportistica completa per audit e conformit\u00e0.<\/li>\n<\/ul>\n\n\n\nQuesto approccio riduce drasticamente il sovraccarico operativo man mano che il data lake cresce. Quando vengono aggiunti nuovi dataset, i loro amministratori devono solo applicare i tag appropriati e i corretti controlli di accesso saranno applicati automaticamente. Allo stesso modo, quando un nuovo utente si unisce, gli amministratori del data lake devono solo assegnare le appropriate espressioni LF-Tag e l’accesso a tutti i dati rilevanti all’interno dell’organizzazione sar\u00e0 concesso.<\/p>\n\n\n\n
Ruoli e Amministrazione dei Dati<\/h4>\n\n\n\n I dati sono ora categorizzati con tag e abbiamo sviluppato politiche di tag per definire come accedervi. \u00c8 il momento di definire le entit\u00e0 che accederanno ai dati e iniziare a concedere i permessi.<\/p>\n\n\n\n
Innanzitutto, definiamo le entit\u00e0 che accederanno ai nostri dati. L’idea qui \u00e8 quella di creare ruoli che riflettano le funzioni aziendali all’interno dell’organizzazione. Questo approccio \u00e8 molto efficace poich\u00e9 quando una nuova persona si unisce al progetto, deve semplicemente essere assegnata al ruolo appropriato piuttosto che richiedere configurazioni di permessi personalizzate, riducendo significativamente il carico amministrativo.<\/p>\n\n\n\n
Nel nostro caso, abbiamo definito:<\/p>\n\n\n\n
\nDue ruoli amministrativi: uno per l’area marketing e uno per l’area vendite<\/li>\n\n\n\n Un ruolo di analista: per il dominio alimentare dell’area vendite<\/li>\n<\/ul>\n\n\n\nL’idea centrale qui \u00e8 quella di delegare l’amministrazione del database ai ruoli amministrativi locali in modo che possano concedere i permessi autonomamente, promuovendo un approccio democratizzato ai dati.<\/p>\n\n\n\n
Finalmente, \u00e8 il momento di concedere i permessi!<\/p>\n\n\n\n
Accesso ai Dati Self-Service<\/h2>\n\n\n\n Ora che abbiamo posizionato tutti i pezzi necessari, abbiamo le basi per ottenere un accesso ai dati in modalit\u00e0 self-service.<\/p>\n\n\n\n
Avere tutti i dati strutturati e organizzati in AWS LakeFormation, con il contenuto adeguatamente descritto tramite tag, in modo molto preciso, fino al livello di colonna, permette agli utenti di cercare facilmente i dati necessari e iniziare a estrarne valore.<\/p>\n\n\n\n
Come amministratori di AWS LakeFormation, iniziamo delegando l’amministrazione dei dati di ogni area dell’organizzazione agli amministratori locali. Come menzionato in precedenza, definiamo due amministratori, uno per l’area marketing e uno per le vendite, utilizzando le espressioni LF-Tag:<\/p>\n\n\n\n
\nArea = Marketing<\/em><\/li>\n\n\n\nArea = Sales<\/em><\/li>\n<\/ul>\n\n\n\nCon queste semplici espressioni, selezioniamo tutti i database, le tabelle e le colonne che sono taggati con quei valori di LF-Tag.<\/p>\n\n\n\n
Poich\u00e9 stiamo creando ruoli amministratore, concediamo autorizzazioni \u201csuper\u201d sia sui database che sulle tabelle per una completa delega. Inoltre, molto importante per lo stesso motivo, consentiamo anche la concessione dei permessi di lettura a loro volta verso altre utenze. In questo modo potranno fornire autonomamente gli accessi al proprio team.<\/p>\n\n\n\n
Qui vediamo la vera potenza del modello di autorizzazioni di AWS LakeFormation che, al contrario delle policy IAM, fornisce controlli specifici per i dati che operano indipendentemente dallo strato di archiviazione sottostante. Questo \u00e8 un vantaggio cruciale poich\u00e9 le policy di accesso ai dati rimangono coerenti indipendentemente da come gli utenti accedono ai dati. Che si tratti di una query su una tabella tramite Athena, un’analisi con SageMaker o una dashboard utilizzando QuickSight, le autorizzazioni di AWS LakeFormation rimangono le stesse e si applicano in modo coerente.<\/p>\n\n\n\n
Gli amministratori locali di area possono ora vedere tutte le tabelle associate alle rispettive aree all’interno dell’organizzazione. Per completare l’esempio, possiamo utilizzare l’amministratore dell’area vendite per concedere l’accesso ai dati di vendita dei prodotti alimentari al suo team, rappresentato dal ruolo di analista dati. In questo modo, l’analista sar\u00e0 in grado di vedere e utilizzare i dati di vendita dei prodotti alimentari per eseguire analisi e creare dashboard per la visualizzazione. <\/p>\n\n\n\n
Abbiamo finalmente democratizzato l’accesso ai dati. Gli utenti possono ora liberamente scoprire i dati utilizzando i tag e accedervi!<\/p>\n\n\n\n
<\/p>\n\n\n
\n
<\/figure><\/div>\n\n\n<\/p>\n\n\n\n
Monitoraggio e Audit<\/h2>\n\n\n\n Prima di concludere, diamo un’occhiata alle funzionalit\u00e0 di monitoraggio e audit di AWS LakeFormation.<\/p>\n\n\n\n
AWS LakeFormation offre una dashboard centralizzata che i team di sicurezza possono utilizzare per esaminare tutti gli eventi di accesso ai dati. Questa centralizzazione consente una governance pi\u00f9 efficace, semplifica la conformit\u00e0 e permette risposte pi\u00f9 rapide agli audit. Ecco un esempio di immagine della dashboard:<\/p>\n\n\n\n
<\/p>\n\n\n
\n
<\/figure><\/div>\n\n\n<\/p>\n\n\n\n
A prima vista, la dashboard riporta l’evento, insieme all’utente e all’ora dell’evento. Ogni evento ha una descrizione dettagliata, che \u00e8 il suo log all’interno di CloudTrail.<\/p>\n\n\n\n
Punti principali e piccoli spoiler<\/h2>\n\n\n\n In questo articolo, abbiamo esplorato come AWS LakeFormation possa trasformare l’accesso ai dati nelle organizzazioni attraverso una piattaforma di dati self-service.<\/p>\n\n\n\n
Dalla configurazione, registrazione delle location dei dati, catalogazione completa con metadati aziendali e LF-Tags per il controllo degli accessi basato sugli attributi, le organizzazioni possono ottenere una vera democratizzazione dei dati mantenendo al contempo una solida sicurezza.<\/p>\n\n\n\n
La potenza di AWS LakeFormation risiede nella sua capacit\u00e0 di definire permessi granulari a livello di database, tabella, colonna e riga, permettendo agli amministratori di delegare il controllo degli accessi ai data steward specifici per area. Questo approccio riduce significativamente il sovraccarico amministrativo assicurando al contempo che gli utenti possano scoprire e accedere solo ai dati di cui hanno bisogno.<\/p>\n\n\n\n
Attraverso una corretta implementazione di strutture basate sui ruoli allineate con le funzioni aziendali, AWS LakeFormation crea una base per un processo decisionale basato sui dati in tutta l’azienda.<\/p>\n\n\n\n
Ora che sappiamo come democratizzare i dati con AWS LakeFormation, nel prossimo capitolo di questa serie di articoli esploreremo i servizi che si basano su AWS LakeFormation, come DataZone.<\/p>\n\n\n\n
Hai mai provato a democratizzare l’accesso ai dati per conto tuo? <\/p>\n\n\n\n
Faccelo sapere nei commenti!<\/p>\n\n\n\n
\n\n\n\nAbout Proud2beCloud<\/h4>\n\n\n\n Proud2beCloud \u00e8 il blog di beSharp<\/a>, APN Premier Consulting Partner italiano esperto nella progettazione, implementazione e gestione di infrastrutture Cloud complesse e servizi AWS avanzati. Prima di essere scrittori, siamo Solutions Architect che, dal 2007, lavorano quotidianamente con i servizi AWS. Siamo innovatori alla costante ricerca della soluzione pi\u00f9 all’avanguardia per noi e per i nostri clienti. Su Proud2beCloud condividiamo regolarmente i nostri migliori spunti con chi come noi, per lavoro o per passione, lavora con il Cloud di AWS. Partecipa alla discussione!<\/p>\n\n\n\n<\/p>\n","protected":false},"excerpt":{"rendered":"
In questa serie di articoli, stiamo descrivendo come creare e strutturare correttamente una Data Platform self-service per la democratizzazione dei […]<\/p>\n","protected":false},"author":16,"featured_media":7716,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[474],"tags":[418,722,724],"class_list":["post-7710","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-data-analytics","tag-data-ingestion","tag-data-platform-it","tag-medallion-architecture-it"],"yoast_head":"\n
Democratizzare l'accesso ai dati tramite una Data Platform self-service utilizzando AWS LakeFormation - Parte 2 - Proud2beCloud Blog<\/title>\n \n \n \n \n \n \n \n \n \n \n \n \n\t \n\t \n\t \n \n \n \n \n \n \n\t \n\t \n\t \n