AWSサポートエンジニアとして長年、壊れたGlueジョブやLake Formationの権限を修正し、その後、銀行データプラットフォームのプリセールスアーキテクチャに移行しました。ほぼすべての移行で一つのパターンが見られます。チームはIAMポリシーとデータカタログを、互いに連携しない二つの別々のワークストリームとして構築し、二つの別々のチームが担当します。そしてローンチから6ヶ月後、誰かが「ゴールドレイヤーのSSN列は誰が見ることができるか？」と尋ね、誰も手作業での監査に1週間かけずに答えられません。そのギャップはプロセス上の問題ではありません。アーキテクチャ上の問題です。この記事では、分類とアクセス制御がなぜ同じシステムである必要があるのか、AWSでそれが機能するようにするための実際のポリシー構築方法、そしてチームがどこでこれを間違えるのかを解説します。