1. MoEngage と共有した JSON キーファイルを開きます。
2. JSON の内容から private_key_id 属性を見つけます。
3. BigQuery コンソールで、対象のテーブルを含むデータセットを開きます。
4. アクセスを制限したいテーブルを選択し、コンテキストメニューから “Share Table” をクリックします。
5. サービスアカウントのメールアドレスをメンバーとして追加し、これらのテーブルに対してのみロールを “BigQuery Data Viewer” に制限します。

​

新しい Snowflake 接続を作成する手順

1. MoEngage ダッシュボードで、App Marketplace に移動します。
2. Snowflake を検索します。
3. Integrate タブに移動し、Add Connection をクリックします。
4. Snowflake データウェアハウスの詳細を入力します。

1. Connect Name: この接続に識別しやすい名前を付けます（例: My Snowflake Prod）。
2. Snowflake Account Identifier
   • 常に Snowflake URL の先頭にあります（例: https://ACCOUNT_IDENTIFIER.snowflakecomputing.com）。
   • 形式は Snowflake アカウントの作成時期によって異なる場合があります。詳細については、Snowflake のドキュメントを参照してください。
3. Snowsight を使用している場合は、左側のナビゲーションの下部でアカウント名を確認できます。インポート元のアカウントを選択し、“copy” アイコンをクリックして Account ID をコピーします。最新の情報と詳細については、Snowflake のドキュメントを参照してください。
4. Warehouse: MoEngage がクエリの実行に使用するウェアハウスの名前です。例: COMPUTE _WAREHOUSE
5. Database: MoEngage がテーブルの読み取りに使用するデータベースです。スキーマは、Warehouse セグメント/インポート/エクスポートのセットアップ時に選択できます。例: MY_DEMO_DB
6. Username: MoEngage がテーブルの読み取りに使用するデータベースです。スキーマは、Warehouse セグメント/インポート/エクスポートのセットアップ時に選択できます。
7. Authentication Method: MoEngage は、次の 2 つの方法で Snowflake インスタンスに接続できます。
   • Password: パスワードを選択した場合は、上記で入力したデータベースユーザー (username) のパスワードを入力します。
   • Key: 認証方法として “Key” を選択した場合は、以下の手順を実行します。
   • “Generate Key” をクリックすると、MoEngage に公開鍵が表示されます。この公開鍵をデータベースユーザーに追加する必要があります。設定するには、Snowflake のヘルプドキュメントに記載されている手順に従ってください。Key - MoEngage は、キーペア認証方式を使用して Snowflake インスタンスに接続できます。この方法を使用するには:
   • このキーをデータベースユーザーに追加したら、“Test connection” をクリックすると、MoEngage が認証情報の検証を試みます。
8. MoEngage はキーのローテーションにも対応しています。IT ポリシーでキーのローテーションが求められる場合は、以下の手順で実行できます。
   • App Marketplace > Snowflake > Integrate に移動し、接続を編集します。
   • 新しいキーを生成するアイコンをクリックします:
   • 確認画面が表示されます。手順をよくお読みください。新しく生成したキーで接続を保存すると、MoEngage は以前のキーを使用しなくなります。ローテーションを正しく機能させるには、新しいキーが 2 つ目の RSA キーとしてデータベースユーザーに関連付けられていることを確認する必要があります（キーのローテーションについては Snowflake のヘルプドキュメントを参照してください）。接続の保存後に新しいキーが関連付けられていない場合、インポートとエクスポートが失敗する可能性があります:
   • 新しいキーが生成されて表示されます。この時点で、Snowflake のヘルプドキュメントに記載されている手順に従って、この新しいキーをコピーし、Snowflake データベースユーザーに追加のキーとして関連付けることを強くお勧めします。新しいキーを関連付けたら、接続テストを成功させてローテーションを完了する必要があります。
   • 新しいキーの生成後に編集フォームを閉じた場合、または Connect をクリックしなかった場合は、以前の（既存の）キーが引き続き使用され、新しく生成されたキーはシステムから削除されます。
9. Role: このロールは、MoEngage からクエリを実行する際に使用されます。

​

MoEngage に読み取りアクセス権を付与する手順

1. Databricks でサービスプリンシパルを追加する
2. サービスプリンシパルを Databricks ワークスペースに割り当てる
3. サービスプリンシパルにデータ読み取りアクセス権を付与する
4. SQL ウェアハウスのコンピューティング権限をサービスプリンシパルに付与する
5. 個人用アクセストークン (PAT) を作成する
6. HTTP パスとホスト名を取得する
7. App Marketplace で Databricks を接続する

​

Databricks でサービスプリンシパルを追加する

1. 管理者として Databricks のアカウントコンソールにログインします。
2. サイドバーで User Management をクリックします。
3. Service principals タブで Add Service principal をクリックします。
4. サービスプリンシパルの名前を入力します。
5. Add をクリックします。

​

サービスプリンシパルを Databricks ワークスペースに割り当てる

1. 管理者として Databricks のアカウントコンソールにログインします。
2. サイドバーで Workspaces をクリックします。
3. ワークスペース名をクリックします。
4. Permissions タブで Add permissions をクリックします。
5. サービスプリンシパルを検索して選択し、権限レベル（Workspace User）を割り当てます。ワークスペース管理者設定ページでワークスペース管理者ロールを割り当てることもできます。
6. Save をクリックします。

​

サービスプリンシパルにデータ読み取りアクセス権を付与する

​

SQL ウェアハウスでのコンピューティング権限をサービスプリンシパルに付与する

1. Databricks ダッシュボードで、Settings > Compute > SQL warehouses をクリックします。
2. サービスプリンシパルがアクセスする必要のあるウェアハウスを選択します。
3. Permissions をクリックします。リストで、サービスプリンシパルに対して Can use を選択します。

1. Databricks ワークスペースで、タイトルバーの Databricks ユーザー名を選択し、ドロップダウンリストから Settings を選択します。
2. Access Tokens タブで Generate New Token を選択します。
3. このトークンを識別するためのコメントを入力し、Lifetime ボックスを空のままにして、トークンの有効期間を無期限に変更します。
4. Generate をクリックし、生成されたトークンをコピーします。
5. Done をクリックします。

​

HTTP パスとホスト名を取得する

1. Databricks ワークスペースで、SQL warehouses を選択します。
2. ウェアハウスを選択します。
3. Connection details タブをクリックし、MoEngage に必要なホスト名と HTTP パスをコピーします。

​

App Marketplace で Databricks を接続する

1. MoEngage ダッシュボードの左側のナビゲーションメニューで、App marketplace をクリックします。
2. App Marketplace ページで Databricks を検索します。
3. Databricks タイルをクリックします。
4. Databricks ページで Integrate タブに移動し、+Add Connection をクリックします。
5. 以下の詳細を入力します。

   フィールド	必須	説明
   Connection name	はい	Databricks 接続の名前を入力します。
   Host name	はい	特定のクラスターに割り当てられた一意の識別子です。接続するホスト名を入力します。サーバーホスト名を確認するには、Databricks Web コンソールでクラスターを見つけます。次に、Advanced options を展開して JDBC/ODBC タブに移動します。
   Port	任意	Databricks サーバーに接続するポートを入力します。デフォルトは 443 です。
   HTTP path	はい	Databricks 上のコンピューティングリソースの HTTP パスを入力します。HTTP パスを確認するには、Databricks ワークスペースでウェアハウスを見つけ、Connection details タブから HTTP パスを取得します。
   Access token	はい	Databricks API に安全にアクセスするために使用される認証トークンです。必要な権限を持つ Databricks サーバーへの承認済みリクエストを行うためのアクセストークンを入力します。Databricks ワークスペースで、Settings > Developer > Access tokens > Manage tokens に移動します。
   Catalog	はい	MoEngage がアクセスできる Databricks Catalog 名を入力します。

   
6. Connect をクリックします。これで Databricks 接続が統合されました。

​

IAM ロールを作成して MoEngage にアクセス権を付与する手順

​

ステップ 1: アカウントで Identity and Access Management (IAM) ロールを作成する

1. AWS Management Console で AWS アカウントにサインインします。
2. Find Services 検索ボックスで IAM を検索します。IAM ダッシュボードに移動します。
3. IAM ダッシュボードで Roles タブを選択します。
4. Create role をクリックします。
5. AWS account を選択します。
6. Select trusted entity セクションで、Custom trust policy を選択します。
7. 以下に示すように、MoEngage から取得した Trust Policy JSON を貼り付けます。MoEngage の AWS Account ID は 612427630422 です。この ID が信頼関係の JSON に含まれていることを確認してください。
   {
   "Version": "2012-10-17",
   "Statement": [
   {
   "Effect": "Allow",
   "Principal": {
   "Service": [
   "redshift.amazonaws.com",
   "ec2.amazonaws.com"
   ]
   },
   "Action": "sts:AssumeRole"
   },
   {
   "Effect": "Allow",
   "Principal": {
   "AWS": "arn:aws:iam::612427630422:root"
   },
   "Action": "sts:AssumeRole"
   }
   ]
   }
   
8. Allow assuming roles from this account オプションを選択します。
9. Next > Permissions をクリックします。
10. ctvtvgd4t 以下の権限を追加します。
    redshift_finegrained (customer-managed policy)
    
    {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Sid": "DataAPIPermissions",
    "Action": [
    "redshift-data:ExecuteStatement",
    "redshift-data:CancelStatement",
    "redshift-data:ListStatements",
    "redshift-data:GetStatementResult",
    "redshift-data:DescribeStatement",
    "redshift-data:ListDatabases",
    "redshift-data:ListSchemas",
    "redshift-data:ListTables",
    "redshift-data:DescribeTable"
    ],
    "Effect": "Allow",
    "Resource": "\*"
    },
    {
    "Sid": "Redshiftminimal",
    "Action": [
    "redshift:Get\*",
    "redshift:Describe\*"
    ],
    "Effect": "Allow",
    "Resource": "\*"
    },
    {
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::\*:role/aws-service-role/redshift.amazonaws.com/AWSServiceRoleForRedshift",
    "Condition": {
    "StringLike": {
    "iam:AWSServiceName": "redshift.amazonaws.com"
    }
    }
    }
    ]
    }
    
    stsAssumerRole (customer-managed policy)
    
    {
    "Version": "2012-10-17",
    "Statement": [
    {
    "Sid": "123",
    "Effect": "Allow",
    "Action": [
    "sts:AssumeRole"
    ],
    "Resource": [
    "\*"
    ]
    }
    ]
    }
    
11. 必要に応じて、ポリシーエディターでオプションを選択し、特定の db-groups とユーザーへのアクセスを制限できます。
12. Next をクリックします。
13. Add tags セクションで、Add new tag ボタンをクリックして、この IAM ロールに必要なタグを追加します。
14. Next > Review をクリックします。
15. Role name ボックスに、ロールの名前を入力します（例: moengage-redshift-data-access-role”）。
16. Create IAM role をクリックします。

​

ステップ 2: MoEngage に詳細を共有する

• ARN (Amazon Resource Name):
  • AWS Management Console で IAM ダッシュボードに移動し、ステップ 1 で作成した IAM ロールを選択します。
  • IAM ロールの ARN をコピーします。 MoEngage はこの ARN を使用してアカウント内の IAM ロールを引き受け、Redshift クラスターにアクセスします。
• Database name: 実行されるクエリに使用されるデフォルトの Redshift データベース名です。データベースごとに個別の接続を作成することをお勧めします。
• Redshift Cluster Identifier name: プロビジョニングされた Redshift クラスターごとに個別の接続を作成することをお勧めします。
  #{
  "role_arn" : "arn:aws:iam::5822XXXX730:role/Segmentation_Redshift",
  "aws_regions" : "ap-south-1",
  "cluster_identifier" : "redshift-segmentation-cluster",
  "default_db" : "dev",
  }