Management UIを使用したData Tank 2.0の管理

Management UIは、Treasure Data Data Tank 2.0の設定、監視、制御を可能にするWebアプリケーションです。Management UIへのアクセスには管理者レベルの権限が必要です。アクセスについては、カスタマーサクセス担当者にお問い合わせください。

Data Tank 2.0メンテナンスの理解も参照してください。

Management UIを使用してData Tank 2.0を管理できます。

これらのURLにアクセスする前に、Treasure コンソールにサインインしてください。サインインするユーザーは管理者またはオーナーである必要があります。

データベースページを使用して、データベース関連の設定を表示および構成します。

スキーマページを使用して、スキーマの表示、作成、削除を行います。

スキーマは、テーブル、ビュー、インデックス、データ型、関数、ストアドプロシージャ、オペレータなどの名前付きデータベースオブジェクトを含む名前空間です。各データベースにはデフォルトとしてpublicスキーマが自動的に作成されます。Management UIでは、新しいスキーマの作成と空のスキーマの削除が可能です。スキーマを作成した後、スキーマ名は編集できません。publicスキーマとその説明は削除できません。

スキーマを使用する場面の例を以下に示します：

• データベースオブジェクトの整理 -- 例えば、テーブルを論理的なグループに整理して管理しやすくする場合。
• 複数ユーザーの利用 -- 互いに干渉することなく1つのデータベースを使用する場合。

1. 新しいスキーマを作成するには、NEWを選択します。
2. 新しいスキーマを作成します。デフォルトでは、新しいスキーマはDDLステートメントの実行を許可しません。新しいスキーマで特定のユーザーのDDLを有効にするには、Enable customized DDLをトグルします。

Data Tank 2.0にアクセスするにはアクセスキーが必要です。アクセスキーページでは、Data Tank 2.0へのアクセスに必要なアクセスキーの表示と編集ができます。

新しいアクセスキーを作成すると、Data Tank 2.0にアクセスするためのランダムなユーザー名とパスワードが生成されます。アクセスキーを作成する際は、論理名が一意であり、Data Tank 2.0のユーザー名でないことを確認してください。

アクセスキーを無効化することで、Data Tank 2.0への接続権限を取り消すことができます。アクセスキー自体は削除されません。アクセスキーを再度有効化すると、権限が復元されます。

アクセスポリシーページでは、アクセスキーを使用して特定のスキーマへのアクセス権限を付与できます。

新しいアクセスキーが作成された後、デフォルトでユーザーはシステムカタログへのアクセス権限を持ちます。ユーザーごとに以下の種類のアクセスポリシーを設定できます。

CUSTOMIZABLE_USERポリシーがアクセスキーに適用されると、ユーザーはそのアクセスキーに対してテーブルごとにアクセス制御を表示および変更できます。アクセスキーとテーブルを組み合わせて適用できるアクセスタイプは以下のとおりです：

このセクションでは、CREATE、ALTER、DROP、GRANT、REVOKEなどのDDLステートメントを実行する手順について説明します。

1. 新しいアクセスキーを作成します。

2. 新しいアクセスキーに対してCUSTOMIZABLE_ADMINタイプのアクセスポリシーを作成します。

3. 新しいアクセスキーを使用してPostgreSQLクライアントでData Tank 2.0に接続します。

4. 以下のステートメントを実行します：

   SET ROLE _owner_<database name>_<schema name>

5. 必要なDDLステートメントを実行します。

DDLステートメントは、セッション内でSET ROLEが実行された場合にのみ実行できます。

切り替えるロール名_owner_<database name>_<schema name>は、データベース名とスキーマ名に基づいて決定されます。例えば、データベース名がaciddbでスキーマ名がpublicの場合、オーナーロール名は_owner_aciddb_publicとなります。

SET ROLEステートメントが実行されると、アクセスキーはオーナーユーザーの権限を一時的に継承できます。この継承はセッションが終了するまで続きます。アクセスキーがSET ROLEを実行できるのは、CUSTOMIZABLE_ADMINアクセスポリシーが設定されている場合のみです。

Management UIでメンテナンスウィンドウを設定できます。

Management UIでメンテナンスウィンドウを設定するには、以下のフィールドを使用します：

• Namespace: instance
• Key: preferredMaintenanceWindow
• Value:
  • フォーマット: ^(Mon|Tue|Wed|Thu|Fri|Sat|Sun):([01][0-9]|2[0-3]):[0-5][0-9]-(Mon|Tue|Wed|Thu|Fri|Sat|Sun):([01][0-9]|2[0-3]):[0-5][0-9]$
  • 例：
    • Sun:10:00-Sun:12:00 -- 日曜日の10:00から12:00の間（GMT）
    • Mon:23:00-Tue:01:00 -- 月曜日の23:00から火曜日の01:00の間（GMT）
• Secret: チェックなし

変更ページでは、DBインスタンスとそのパラメータおよびIPホワイトリストを表示および管理できます。

IPホワイトリスト機能を使用すると、特定のIPアドレスのみにData Tank 2.0へのアクセスを許可できます。

1. 設定ページでChangesを選択し、allowedAddressキーを選択します。

   

2. ValueフィールドにCIDR形式で許可するIPアドレスを入力します。各フィールドの値は以下のとおりです：

   • Namespace: instance
   • Key: allowedAddress
   • Value:
     • g:treasuredata-main -- このエントリには、Management UIおよびPostgreSQLとのIntegrationに使用するTreasure DataサーバーのIPアドレスが含まれています。削除しないよう注意してください。
     • IPアドレス（各IPアドレスを別々の行に入力）
   • Secret: オフ
   

3. SAVEを選択します。この時点では設定はまだ適用されていません。

4. Change to be appliedを確認し、DEPLOYを選択します。

   

変更の適用には、処理ステータスがAPPLYINGからSUCCESSに変わるまで通常数分かかります。

Data Tank 2.0への接続はSSL/TLSで暗号化されています。Treasure Dataは暗号化に関して4つのオプションをサポートしています。

AWSクラスターのCAを更新するには、クライアント側で証明書バンドルを設定し、Management UIで認証局を切り替える必要があります。

1. 以下の表でAWSリージョンを確認します。

   Treasure Dataのリージョン	AWSリージョン
   US	US East (N. Virginia)
   Tokyo	Asia Pacific (Tokyo)
   EU01	Europe (Frankfurt)
   AP02	Asia Pacific (Seoul)

2. Data Tank 2.0に必要なAWSリージョン用の証明書バンドルを確認します。Data Tank 2.0はAurora PostgreSQLをベースにしています。

3. 証明書バンドル（PEM）をダウンロードします。

このバンドルには、rds-ca-2019、rds-ca-rsa2048-g1、rds-ca-rsa4096-g1、rds-ca-ecc384-g1のすべてのCA証明書が含まれています。このバンドルを使用してクライアント側に設定すると、次回認証局を切り替える際に更新は不要です。

1. 以下の画像のように、certificateAuthorityという名前の変更ドラフトを作成します。
2. そのクラスターでデプロイジョブを実行します。