AWSがDenodoとAgentCoreの構成を解説

Amazon AuroraとAmazon Redshift上のセマンティックレイヤーとしてStardogのナレッジグラフを使ったシリーズの過去記事を発展させたものだ。今回はセマンティックレイヤーがDenodo Platformとなり、ソース構成にオンプレミスPostgreSQLデータベースが加わるため、連携の課題はAmazon Virtual Private Cloudの外にも広がる。顧客360のスキーマは同じだが、rewards_accountテーブルはAuroraからオンプレミスクラスターへ移動し、サードパーティアプリケーションのデータを表す。Denodoは実行時に連携クエリを計画し、結合と集計を各ソースへプッシュし、結果をDenodo内で統合するため、エンジン間でデータは移動しない。このアーキテクチャはIDにも対応する。エンドユーザーのIDはエンタープライズIDプロバイダーからAgentCore IdentityのOn-Behalf-Ofトークン交換を通じてDenodoへ流れ、そこでGlobal Security Policiesが呼び出し元ごとに行・列フィルターを適用する。この設計により、アクセス制御はエージェントのコードやモデルではなくセマンティックレイヤーに保たれ、プロンプトインジェクションによるバイパスのリスクを低減できると記事は示唆する。記事はまた、DenodoがJDBC、ODBC、GraphQL、ODataを含む複数のプロトコルで同じビューを公開していること、Denodoが2026年3月にApache Ossie（インキュベーション中）に参加したことにも言及する。これはセマンティックメタデータのベンダーニュートラルな仕様だが、まだ初期段階にある。