Я годами исправлял сбои в Glue и разрешениях Lake Formation в качестве инженера технической поддержки AWS, а затем перешел на предпродажную архитектуру для банковских платформ данных. Почти в каждой миграции проявляется одна закономерность: команды создают политики IAM и каталог данных как два отдельных рабочих процесса, управляемых двумя отдельными командами, которые никогда не общаются друг с другом. Затем через шесть месяцев после запуска кто-то спрашивает: «Кто может видеть столбец SSN в золотом слое?», и никто не может ответить без недельного ручного аудита.Этот пробел — не проблема процесса. Это проблема архитектуры. В этой статье рассматривается, почему классификация и контроль доступа должны быть одной системой, с фактическими конструкциями политик для обеспечения их работы в AWS, и где команды ошибаются.