View a markdown version of this page

IAM-Richtlinie, mit der Verschlüsselung verwendet werden soll DataBrew - AWS Glue DataBrew Entwicklerhandbuch

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

IAM-Richtlinie, mit der Verschlüsselung verwendet werden soll DataBrew

Die AwsGlueDataBrewS3EncryptedPolicy Richtlinie gewährt Benutzern ohne Administratorrechte die Berechtigungen, die für den Zugriff auf mit AWS Key Management Service(AWS KMS) verschlüsselte S3-Objekte erforderlich sind.

Passen Sie die Richtlinie wie folgt an:

  1. Ersetzen Sie die Amazon S3 S3-Pfade in der Richtlinie so, dass sie auf die Pfade verweisen, die Sie verwenden möchten. Steht im Beispieltext BUCKET-NAME-1/SPECIFIC-OBJECT-NAME für ein bestimmtes Objekt oder eine bestimmte Datei. BUCKET-NAME-2/steht für alle Objekte (*), deren Pfadname mit beginntBUCKET-NAME-2/. Aktualisieren Sie diese, um die Buckets zu benennen, die Sie verwenden.

  2. (Optional) Verwenden Sie Platzhalter in den Amazon S3 S3-Pfaden, um die Berechtigungen weiter einzuschränken. Weitere Informationen finden Sie unter IAM-Richtlinienelemente: Variablen und Tags.

    In diesem Zusammenhang können Sie die Berechtigungen für die Aktionen s3:PutObject und s3:PutBucketCORS einschränken. Diese Aktionen sind nur für Benutzer erforderlich, die DataBrew Projekte erstellen, da diese Benutzer in der Lage sein müssen, Ausgabedateien an S3 zu senden.

    Weitere Informationen und einige Beispiele dafür, was Sie zu einer IAM-Richtlinie für Amazon S3 hinzufügen können, finden Sie unter Beispiele für Bucket-Richtlinien.

  3. Suchen Sie in der Datei nach den folgenden Ressourcen-ARNs. ToUseKms

      "arn:aws:kms:AWS-REGION-NAME:AWS-ACCOUNT-ID-WITHOUT-DASHES:key/KEY-IDS",
"arn:aws:kms:AWS-REGION-NAME:AWS-ACCOUNT-ID-WITHOUT-DASHES:key/KEY-IDS"

  4. Ändern Sie das AWS Beispielkonto in Ihre AWS Kontonummer (ohne Bindestriche).

  5. Ändern Sie die Beispielliste so, dass sie stattdessen die IAM-Rollen auflistet, die Sie verwenden möchten. Wir empfehlen, Ihre IAM-Richtlinien auf den kleinstmöglichen Berechtigungssatz zu beschränken. Sie können Ihrem Benutzer jedoch Zugriff auf alle IAM-Rollen gewähren, wenn Sie beispielsweise ein persönliches Lernkonto mit Beispieldaten verwenden. Damit die Liste auf alle IAM-Rollen zugreifen kann, ändern Sie die Beispielliste in einen Eintrag:. "arn:aws:iam::111122223333:role/*"

Die folgende Tabelle beschreibt die Berechtigungen, die von dieser Richtlinie erteilt werden.

Action (Aktion) Ressource Beschreibung

"s3:GetObject"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

Ermöglicht es Ihnen, eine Vorschau Ihrer Dateien anzuzeigen.

"s3:ListBucket"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

Ermöglicht das Auflisten von Amazon S3 S3-Buckets aus Projekten, Datensätzen und Jobs.

"s3:PutObject"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

Ermöglicht das Senden von Ausgabedateien an S3.

"s3:DeleteObject"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

Ermöglicht das Löschen eines Objekts, das von erstellt wurde DataBrew.
"kms:Decrypt"

"arn:aws:kms:::key/key_ids"

Ermöglicht das Entschlüsseln verschlüsselter Datensätze.

"kms:GenerateDataKey*"

"arn:aws:kms:::key/key_ids"

Ermöglicht die Verschlüsselung der Jobausgabe.
Um die AwsGlueDataBrewS3EncryptedPolicy IAM-Richtlinie für DataBrew (Konsole) zu definieren

  1. Laden Sie die JSON-Datei für die AwsGlueDataBrewS3EncryptedPolicyIAM-Richtlinie herunter.

  2. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

  3. Wählen Sie im Navigationsbereich Richtlinien.

  4. Wählen Sie für jede Richtlinie die Option Create Policy aus.

  5. Navigieren Sie auf dem Bildschirm „Richtlinie erstellen“ zur Registerkarte JSON.

  6. Fügen Sie die JSON-Anweisung für die Richtlinie über die Beispielanweisung im Editor ein.

  7. Stellen Sie sicher, dass die Richtlinie an Ihr Konto, Ihre Sicherheitsanforderungen und die erforderlichen AWS Ressourcen angepasst ist. Wenn Sie Änderungen vornehmen müssen, können Sie diese im Editor vornehmen.

  8. Wählen Sie Richtlinie prüfen.

Um die AwsGlueDataBrewS3EncryptedPolicy IAM-Richtlinie zu definieren für DataBrew (AWS CLI)

  1. Laden Sie die JSON-Datei für AwsGlueDataBrewS3EncryptedPolicyherunter.

  2. Passen Sie die Richtlinie wie im ersten Schritt des vorherigen Verfahrens beschrieben an.

  3. Führen Sie den folgenden Befehl aus, um die Richtlinie zu erstellen.

    aws iam create-policy --policy-name AwsGlueDataBrewS3EncryptedPolicy --policy-document file://iam-policy-AwsGlueDataBrewS3EncryptedPolicy.json