Gewährung von AWS-verwalteten Richtlinien für AWS Glue

AWSGlueConsoleFullAccess – Gewährt vollen Zugriff auf AWS Glue-Ressourcen, wenn eine Identität, an die die Richtlinie angehängt ist, die AWS Management Console verwendet. Wenn Sie die Namenskonvention für Ressourcen befolgen, die in dieser Richtlinie angegeben sind, haben Benutzer alle Konsolenfunktionalitäten. Diese Richtlinie wird typischerweise mit Benutzern der AWS Glue-Konsole verknüpft.

AWSGlueServiceRole – Gewährt den Zugriff auf Ressourcen, die verschiedene AWS Glue-Prozesse benötigen, um in Ihrem Namen ausgeführt zu werden. Diese Ressourcen beinhalten u. a. AWS Glue, Amazon S3, IAM, CloudWatch Logs und Amazon EC2. Wenn Sie die Namenskonvention für Ressourcen befolgen, die in dieser Richtlinie angegeben sind, haben AWS Glue-Prozesse die erforderlichen Berechtigungen. Diese Richtlinie wird typischerweise mit Rollen verknüpft, die bei der Definition von Crawlern, Aufträgen und Entwicklungsendpunkten angegeben werden.

AwsGlueSessionUserRestrictedServiceRole – Bietet vollständigen Zugriff auf alle AWS Glue-Ressourcen außer Sitzungen. Sie erlaubt Benutzern nur die interaktiven Sitzungen zu erstellen und zu verwenden, die mit dem Benutzer verknüpft sind. Diese Richtlinie enthält auch andere Berechtigungen, die von AWS Glue benötigt werden, um AWS Glue-Ressourcen in anderen AWS-Services zu verwalten. Die Richtlinie erlaubt auch das Hinzufügen von Tags zu AWS Glue-Ressourcen in anderen AWS-Services.

AwsGlueSessionUserRestrictedPolicy – Ermöglicht den Zugriff auf die Erstellung interaktiver AWS Glue-Sitzungen über den CreateSession-API-Vorgang nur, wenn ein Tag-Schlüssel „owner“ und ein Wert, der mit der AWS-Benutzerkennung des Empfängers übereinstimmt, angegeben werden. Diese Identitätsrichtlinie ist dem IAM-Benutzer zugeordnet, der der CreateSession-API-Vorgang aufruft. Diese Richtlinie ermöglicht es dem Beauftragten auch, mit den interaktiven Sitzungsressourcen von AWS Glue zu interagieren, die mit einem „owner“ -Tag und einem Wert erstellt wurden, der ihrer AWS-Benutzerkennung entspricht. Diese Richtlinie verweigert die Berechtigung zum Ändern oder Entfernen von „Eigentümer“-Tags einer AWS GlueSitzungsressource nach dem Erstellen der Sitzung.

AwsGlueSessionUserRestrictedNotebookServiceRole – Bietet ausreichenden Zugriff auf die AWS Glue Studio-Notebook-Sitzung, um mit bestimmten interaktiven Sitzungsressourcen von AWS Glue zu interagieren. Dies sind Ressourcen, die mit dem Tagwert „owner“ erstellt werden, der AWS-Benutzer-ID des Prinzipals (IAM-Benutzer oder -Rolle) entspricht, der das Notebook erstellt. Weitere Informationen zu diesen Tags finden Sie im Diagramm Prinzipal-Schlüsselwerte im IAM-Benutzerhandbuch.

Diese Servicerollenrichtlinie ist an die Rolle angehängt, die mit einer Magic-Anweisung innerhalb des Notebooks angegeben oder als Rolle an den CreateSession-API-Vorgang gegeben wird. Diese Richtlinie erlaubt es dem Auftraggeber auch, eine interaktive Sitzung von AWS Glue von der AWS Glue Studio-Notebook-Schnittstelle aus nur dann zu erstellen, wenn der Tag-Schlüssel „owner“ und der Wert mit der AWS-Benutzerkennung des Prinzipals übereinstimmen. Diese Richtlinie verweigert die Berechtigung zum Ändern oder Entfernen von „Eigentümer“-Tags einer AWS GlueSitzungsressource nach dem Erstellen der Sitzung. Diese Richtlinie enthält auch Berechtigungen zum Schreiben und Lesen aus Amazon-S3-Buckets, das Schreiben von CloudWatch-Protokollen, das Erstellen und Löschen von Tags für Amazon-EC2-Ressourcen, die von AWS Glue verwendet werden.

AwsGlueSessionUserRestrictedNotebookPolicy – Ermöglicht den Zugriff auf die Erstellung einer interaktiven Sitzung von AWS Glue über die AWS Glue Studio-Notebook-Schnittstelle nur dann, wenn der Tag-Schlüssel "owner" und der Wert mit der AWS-Benutzerkennung des Prinzipals (IAM-Benutzer oder -Rolle) übereinstimmen, der das Notebook erstellt. Weitere Informationen zu diesen Tags finden Sie im Diagramm Prinzipal-Schlüsselwerte im IAM-Benutzerhandbuch.

Diese Richtlinie ist an den Prinzipal (IAM-Benutzer oder -Rolle) angehängt, der Sitzungen von der AWS Glue Studio-Notebook-Schnittstelle erstellt. Diese Richtlinie ermöglicht auch ausreichenden Zugriff auf das AWS Glue Studio-Notebook, um mit bestimmten interaktiven Sitzungsressourcen von AWS Glue zu interagieren. Dies sind Ressourcen, die mit dem Tagwert „owner“ erstellt werden, der AWS-Benutzer-ID des Prinzipals entspricht. Diese Richtlinie verweigert die Berechtigung zum Ändern oder Entfernen von „Eigentümer“-Tags einer AWS GlueSitzungsressource nach dem Erstellen der Sitzung.

AWSGlueServiceNotebookRole – Gewährt Zugriff auf AWS Glue-Sitzungen, die in einem AWS Glue Studio-Notebook erstellt wurden. Diese Richtlinie ermöglicht die Auflistung und den Abruf von Sitzungsinformationen für alle Sitzungen, erlaubt es den Benutzern jedoch nur, die mit ihrer AWS-Benutzerkennung gekennzeichneten Sitzungen zu erstellen und zu verwenden. Diese Richtlinie verweigert die Erlaubnis, „owner“-Tags von AWS Glue-Sitzungsressourcen zu ändern oder zu entfernen, die mit ihrer AWS-Benutzerkennung gekennzeichnet sind.

Weisen Sie diese Richtlinie dem AWS-Benutzer zu, der Aufträge über die Notebook-Schnittstelle in AWS Glue Studio erstellt.

AWSGlueConsoleSageMakerNotebookFullAccess – Gewährt vollen Zugriff auf AWS-Glue- und SageMaker-AI-Ressourcen, wenn die Identität, der die Richtlinie zugeordnet ist, die AWS Management Console verwendet. Wenn Sie die Namenskonvention für Ressourcen befolgen, die in dieser Richtlinie angegeben sind, haben Benutzer alle Konsolenfunktionalitäten. Diese Richtlinie wird typischerweise mit Benutzern der AWS Glue-Konsole verknüpft, die SageMaker-AI-Notebooks verwalten.

AWSGlueSchemaRegistryFullAccess – Gewährt vollen Zugriff auf AWS Glue-Schema-Registry-Ressourcen, wenn die Identität, der die Richtlinie zugeordnet ist, die AWS Management Console oder AWS CLI verwendet. Wenn Sie die Namenskonvention für Ressourcen befolgen, die in dieser Richtlinie angegeben sind, haben Benutzer alle Konsolenfunktionalitäten. Diese Richtlinie wird typischerweise mit Benutzern der AWS Glue-Konsole oder der AWS CLI verknüpft, die die AWS Glue-Schema-Registry verwalten.

AWSGlueSchemaRegistryReadonlyAccess – Gewährt schreibgeschützten Zugriff auf AWS Glue-Schema-Registry-Ressourcen, wenn eine Identität, der die Richtlinie zugeordnet ist die AWS Management Console oder AWS CLI verwendet. Wenn Sie die Namenskonvention für Ressourcen befolgen, die in dieser Richtlinie angegeben sind, haben Benutzer alle Konsolenfunktionalitäten. Diese Richtlinie wird typischerweise mit Benutzern der AWS Glue-Glue-Konsole oder der AWS CLI verknüpft, die die AWS Glue-Schema-Registry verwenden.

secretsmanager:GetSecretValue

secretsmanager:PutSecretValue

secretsmanager:DescribeSecret

ec2:CreateNetworkInterface

ec2:DeleteNetworkInterface

ec2:DescribeNetworkInterfaces

ec2:DescribeSubnets