QuickSight のユーザーの作成とシステム利用者への割り当て

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Effect": "Allow"
			"Action": "quicksight:*",
			"Resource": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1a1ac2b2-3fc3-4b44-5e5d-c6db6778df89"
		}
	]
}

>aws quicksight update-user --user-name JohnDoe --email john@example.com --aws-account-id 111122223333 --namespace default --role AUTHOR --region ap-northeast-1

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "VisualEditor0",
			"Effect": "Allow",
			"Action": [
				"quicksight:RegisterUser",
				"quicksight:DeleteUser",
				"quicksight:UpdateDashboardPermissions",
				"quicksight:DescribeDataSet",
				"quicksight:UpdateDataSet"
			],
			"Resource": [
				"arn:aws:quicksight:ap-northeast-1:123456789012:user/default/*",
				"arn:aws:quicksight:ap-northeast-1:123456789012:dashboard/*",
				"arn:aws:quicksight:ap-northeast-1:123456789012:dataset/*"
			]
		},
	]
}

"Action": [
	"quicksight:*",
]

use Aws\QuickSight\QuickSightClient;
use Aws\Exception\AwsException;

define('C_AWS_REGION', 'ap-northeast-1'); # リージョン
define('C_AWS_ACCESS_KEY', 'XXXXXXXX'); # QuickSightを操作するIAMユーザーのアクセスキー
define('C_AWS_SECRET_ACCESS_KEY', 'XXXXXXXX'); # 対となるIAMユーザーのシークレットアクセスキー
define('C_AWS_ACCOUNT_ID', '0123456789012'); # AWS アカウントID（e.g. 123456789012）

class QuickSightTest{

	private $credentials_ = [
		'version' => 'latest',
		'region' => C_AWS_REGION,
		'credentials' => [
			'key'    => C_AWS_ACCESS_KEY,
			'secret' => C_AWS_SECRET_ACCESS_KEY
		]
	];

	public function registerUser($email){
		$params = [
			'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID
			'Namespace' => 'default',
			'IdentityType' => 'QUICKSIGHT',
			'UserName' => $email, # 追加するユーザーのユーザー名
			'Email' => $email, # 追加するユーザーのメールアドレス
			'UserRole' => 'READER' # 閲覧者
		];

		try{
			$client = new QuickSightClient($this->credentials_);
			$result = $client->registerUser($params);
			$userArn = $result['User']['Arn'];
			print 'userArn:'.$userArn."<br>\n";

		}catch(Exception $e){
			print $e->getMessage();
		}
	}
}

public function shareDashboard($dashboardId, $username){
	// username: 登録する閲覧者のユーザー名
	$arn = 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':user/default/'.$username;

	$params = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'DashboardId' => $dashboardId, # 閲覧者を登録するダッシュボードID
		'GrantPermissions' => [
			[
				'Principal' => $arn, # 登録する閲覧者のARN
				'Actions' => [
					'quicksight:QueryDashboard',
					'quicksight:DescribeDashboard',
					'quicksight:ListDashboardVersions'
				]
			]
		]
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$result = $client->updateDashboardPermissions($params);
		print_r($result);

	}catch(Exception $e){
		print $e->getMessage();
	}
}

UserName, 社員名, 部署名
admin, "", ""
userA, 山田 太郎, 総務部
userB, 鈴木 次郎, 開発部
userC, 佐藤 三郎, 営業部

public function addRLS($datasetId, $datasetName, $RLSdatasetId){
	$params = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'DataSetId' => $datasetId, # RLSを設定したいデータセットID
	];

	$params2 = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'DataSetId' => $datasetId, # RLSを設定したいデータセットID
		'Name' => $datasetName, # RLSを設定したいデータセット名
		'ImportMode' => 'SPICE', # データセットがSPICEを利用する場合
		'RowLevelPermissionDataSet' => [
			'Arn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':dataset/'.$RLSdatasetId, # RLS定義のデータセットID
			'Namespace' => 'default',
			'PermissionPolicy' => 'GRANT_ACCESS', # 許可条件（拒否の場合：DENY_ACCESS）
			'Status' => 'ENABLED', # 有効（無効の場合：DISABLED）
		]
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$map = $client->describeDataSet($params);
		$params2['PhysicalTableMap'] = $map['DataSet']['PhysicalTableMap'];
		$params2['LogicalTableMap'] = $map['DataSet']['LogicalTableMap'];
		$result = $client->updateDataSet($params2);
		print_r($result);

	}catch(Exception $e){
		print $e->getMessage();
	}
}

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "VisualEditor0",
			"Effect": "Allow",
			"Action": [
				"quicksight:PassDataSet",
				"quicksight:ListTemplates",
				"quicksight:DescribeTemplate",
				"quicksight:CreateTemplate",
				"quicksight:UpdateTemplate",
				"quicksight:DeleteTemplate",
				"quicksight:ListAnalyses",
				"quicksight:DescribeAnalysis",
				"quicksight:RestoreAnalysis",
				"quicksight:CreateAnalysis",
				"quicksight:UpdateAnalysis",
				"quicksight:DeleteAnalysis",
				"quicksight:DescribeAnalysisPermissions",
				"quicksight:UpdateAnalysisPermissions",
				"quicksight:ListDashboards",
				"quicksight:DescribeDashboard",
				"quicksight:CreateDashboard",
				"quicksight:UpdateDashboard",
				"quicksight:DeleteDashboard",
				"quicksight:DescribeDashboardPermissions",
				"quicksight:UpdateDashboardPermissions",
				"quicksight:UpdateDashboardPublishedVersion"
			],
			"Resource": [
				"arn:aws:quicksight:ap-northeast-1:123456789012:dataset/*",
				"arn:aws:quicksight:ap-northeast-1:123456789012:template/*",
				"arn:aws:quicksight:ap-northeast-1:123456789012:analysis/*",
				"arn:aws:quicksight:ap-northeast-1:123456789012:dashboard/*",
				"arn:aws:quicksight:ap-northeast-1:123456789012:user/default/*"
			]
		},
	]
}

public function createTemplate($templateId, $analysisId, $datasetId, $datasetName){
	$tpId = $templateId; # 作成するテンプレートのID（任意の英数記号）
	$anId = $analysisId; # 元となる分析のID
	$dsId = $datasetId; # 元となる分析が接続するデータセットのID
	$dsNm = $datasetName; # 元となる分析が接続するデータセット名

	$template = [
		'SourceAnalysis' => [
			'Arn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':analysis/'.$anId,
			'DataSetReferences' => [
				[
					'DataSetPlaceholder' => $dsNm,
					'DataSetArn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':dataset/'.$dsId
				]
			]
		]
	];

	$params = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'TemplateId' => $tpId, # テンプレートID（任意の英数記号）
		'Name' => $tpId, # テンプレート名（任意の文字列）
		'SourceEntity' => $template,
		'VersionDescription' => '1'
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$result = $client->createTemplate($params);
		print_r($result);

	}catch(Exception $e){
		print $e->getMessage();
	}
}

public function createDashboard($dashboardId, $username, $templateId, $datasetId, $datasetName){
	$dbId = $dashboardId; # 作成するダッシュボードのID（任意の英数記号）
	$tpId = $templateId; # 元となるテンプレートのID
	$dsId = $datasetId; # 元となるテンプレートが接続するデータセットのID
	$dsNm = $datasetName; # 元となるテンプレートが接続するデータセット名

	$source = [
		'SourceTemplate' => [
			'Arn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':template/'.$tpId,
			'DataSetReferences' => [
				[
					'DataSetPlaceholder' => $dsNm,
					'DataSetArn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':dataset/'.$dsId
				]
			]
		]
	];

	# 権限を設定
	$permissions = [
		# コンソールからの操作者に本ダッシュボードが参照・操作できるよう権限を設定
		# ここではadminグループに属する者に権限を与えている
		[
			'Principal' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':group/default/admin',
			'Actions' => [
				'quicksight:QueryDashboard',
				'quicksight:DescribeDashboard',
				'quicksight:ListDashboardVersions',
				'quicksight:UpdateDashboard',
				'quicksight:DeleteDashboard',
				'quicksight:DescribeDashboardPermissions',
				'quicksight:UpdateDashboardPermissions',
				'quicksight:UpdateDashboardPublishedVersion'
			]
		],
		# 共有する閲覧者に本ダッシュボードが参照できるよう権限を設定（ダッシュボードの共有）
		[
			'Principal' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':user/default/'.$username,
			'Actions' => [
				'quicksight:QueryDashboard',
				'quicksight:DescribeDashboard',
				'quicksight:ListDashboardVersions'
			]
		]
	];

	$params = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'DashboardId' => $dbId, # ダッシュボードID（任意の英数記号）
		'Name' => $dbId, # ダッシュボード名（任意の文字列）
		'SourceEntity' => $source,
		'Permissions' => $permissions
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$result = $client->createDashboard($params);
		print_r($result);

	}catch(Exception $e){
		print $e->getMessage();
	}
}

public function createAnalysis($analysisId, $templateId, $datasetId, $datasetName){
	$anId = $analysisId; # 作成する分析のID（任意の英数記号）
	$tpId = $templateId; # 元となるテンプレートのID
	$dsId = $datasetId; # 元となるテンプレートが接続するデータセットのID
	$dsNm = $datasetName; # 元となるテンプレートが接続するデータセット名

	$source = [
		'SourceTemplate' => [
			'Arn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':template/'.$tpId,
			'DataSetReferences' => [
				[
					'DataSetPlaceholder' => $dsNm,
					'DataSetArn' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':dataset/'.$dsId
				]
			]
		]
	];

	# コンソールからの操作者に本分析が参照・操作できるよう権限を設定
	# ここではadminグループに属する者に権限を与えている
	$permissions = [
		[
			'Principal' => 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':group/default/admin',
			'Actions' => [
				'quicksight:QueryAnalysis',
				'quicksight:DescribeAnalysis',
				'quicksight:RestoreAnalysis',
				'quicksight:UpdateAnalysis',
				'quicksight:DeleteAnalysis',
				'quicksight:DescribeAnalysisPermissions',
				'quicksight:UpdateAnalysisPermissions'
			]
		]
	];

	$params = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'AnalysisId' => $anId, # 分析ID（任意の英数記号）
		'Name' => $anId, # 分析名（任意の文字列）
		'SourceEntity' => $source,
		'Permissions' => $permissions
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$result = $client->createAnalysis($params);
		print_r($result);

	}catch(Exception $e){
		print $e->getMessage();
	}
}

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "VisualEditor0",
			"Effect": "Allow",
			"Action": [
				"quicksight:DescribeDataSet",
				"quicksight:UpdateDataSet"
			],
			"Resource": [
				"arn:aws:quicksight:ap-northeast-1:123456789012:dataset/*"
			]
		},
	]
}

public function addRLS_tag($datasetId, $datasetName){
	$params = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'DataSetId' => $datasetId, # RLSを設定したいデータセットID
	];

	$params2 = [
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'DataSetId' => $datasetId, # RLSを設定したいデータセットID
		'Name' => $datasetName, # RLSを設定したいデータセット名
		'ImportMode' => 'SPICE', # データセットがSPICEを利用する場合
		'RowLevelPermissionTagConfiguration' => [
			'Status' => 'ENABLED',
			'TagRules' => [
				['ColumnName'=>'社員名', 'TagKey'=>'uname'] # フィールド名とタグ名の対応表
			]
		]
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$map = $client->describeDataSet($params);
		$params2['PhysicalTableMap'] = $map['DataSet']['PhysicalTableMap'];
		$params2['LogicalTableMap'] = $map['DataSet']['LogicalTableMap'];
		$result = $client->updateDataSet($params2);
		print_r($result);

	}catch(Exception $e){
		print $e->getMessage();
	}
}

#ダッシュボードの参照URL
｛リージョン｝.quicksight.aws.amazon.com/sn/accounts/｛アカウントID｝/dashboards/｛ダッシュボードID｝?directory_alias=｛QuickSightアカウント名｝

#ビジュアルの参照URL
｛リージョン｝.quicksight.aws.amazon.com/sn/accounts/｛アカウントID｝/dashboards/｛ダッシュボードID｝/views/｛ビジュアルID｝?directory_alias=｛QuickSightアカウント名｝

public function getEmbedUrl($dashboardId, $username){
	$userArn = 'arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':user/default/'.$username;
	$params = [
		'AllowedDomains' => ['https://exaple.com'], # 埋め込みダッシュボードを許可するドメイン
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'Namespace' => 'default',
		'UserArn' => $userArn, # 閲覧者のARN
		'ExperienceConfiguration' => [
			'Dashboard' => ['InitialDashboardId'=>$dashboardId] # 最初に表示するダッシュボード
		]
	];

	try{
		$client = new QuickSightClient($this->credentials_);
		$result = $client->generateEmbedUrlForRegisteredUser($params);
		$embed_url = $result['EmbedUrl'];
		print $embed_url;

	}catch(Exception $e){
		print $e->getMessage();
	}
}

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "VisualEditor0",
			"Effect": "Allow",
			"Action": [
				"quicksight:GenerateEmbedUrlForRegisteredUser"
			],
			"Resource": [
				"arn:aws:quicksight:ap-northeast-1:123456789012:user/default/*"
			]
		},
	]
}

public function getEmbedUrlForAnonymous($dashboardId, $tags){
	$dboardArns = ['arn:aws:quicksight:'.C_AWS_REGION.':'.C_AWS_ACCOUNT_ID.':dashboard/'.$dashboardId];
	$params = [
		'AllowedDomains' => ['https://exaple.com'], # 埋め込みダッシュボードを許可するドメイン
		'AwsAccountId' => C_AWS_ACCOUNT_ID, # AWSアカウントID（e.g. 123456789012）
		'Namespace' => 'default',
		'SessionLifetimeInMinutes' => 15, # セッションの有効時間 [分]
		'AuthorizedResourceArns' => $dboardArns, # 閲覧を許可するダッシュボードのARN
		'ExperienceConfiguration' => [
			'Dashboard' => ['InitialDashboardId'=>$dashboardId] # 最初に表示するダッシュボード
		],
		'SessionTags' => [
			# ['Key'=>'uname', 'Value'=>'山田 太郎'] # 指定するタグとその値
		]
	];

	# タグを指定する
	foreach($tags as $key=>$value){
		$params['SessionTags'][] = ['Key'=>$key, 'Value'=>$value];
	}

	try{
		$client = new QuickSightClient($this->credentials_);
		$result = $client->generateEmbedUrlForAnonymousUser($params);
		$embed_url = $result['EmbedUrl'];
		print $embed_url;

	}catch(Exception $e){
		print $e->getMessage();
	}
}

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "VisualEditor0",
			"Effect": "Allow",
			"Action": [
				"quicksight:GenerateEmbedUrlForAnonymousUser"
			],
			"Resource": [
				"arn:aws:quicksight:ap-northeast-1:123456789012:dashboard/*"
			]
		},
	]
}