Anforderungen für Rollen, die zur Registrierung von Standorten verwendet werden - AWS Lake Formation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Anforderungen für Rollen, die zur Registrierung von Standorten verwendet werden

Sie müssen eine AWS Identity and Access Management (IAM) -Rolle angeben, wenn Sie einen Amazon Simple Storage Service (Amazon S3) -Standort registrieren. AWS Lake Formation übernimmt diese Rolle beim Zugriff auf die Daten an diesem Standort.

Sie können einen der folgenden Rollentypen verwenden, um einen Standort zu registrieren:

Im Folgenden sind die Anforderungen für eine benutzerdefinierte Rolle aufgeführt:

  • Wählen Sie beim Erstellen der neuen Rolle auf der Seite Rolle erstellen der IAM-Konsole AWS Service und dann unter Anwendungsfall auswählen die Option Lake Formation aus.

    Wenn Sie die Rolle unter Verwendung eines anderen Pfads erstellen, stellen Sie sicher, dass für die Rolle eine Vertrauensstellung besteht. lakeformation.amazonaws.com Weitere Informationen finden Sie unter Ändern einer Vertrauensrichtlinie für Rollen (Konsole).

  • Die Rolle muss über eine Inline-Richtlinie verfügen, die Amazon S3 read/write S3-Berechtigungen für den Standort gewährt. Im Folgenden finden Sie eine typische Richtlinie.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

  • Fügen Sie der IAM-Rolle die folgende Vertrauensrichtlinie hinzu, damit der Lake Formation Formation-Dienst die Rolle übernehmen und temporäre Anmeldeinformationen an die integrierten Analyse-Engines weitergeben kann.

    Um den IAM Identity Center-Benutzerkontext in die CloudTrail Protokolle aufzunehmen, muss die Vertrauensrichtlinie über die entsprechende Berechtigung für die Aktion verfügen. sts:SetContext

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataCatalogViewDefinerAssumeRole1",
            "Effect": "Allow",
            "Principal": {
               "Service": [                    
                    "lakeformation.amazonaws.com"
                 ]
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ]
        }
    ]
}

  • Der Data Lake-Administrator, der den Standort registriert, muss über die entsprechenden iam:PassRole Berechtigungen für die Rolle verfügen.

    Die folgende Inline-Richtlinie gewährt diese Berechtigung. <account-id>Ersetzen Sie es durch eine gültige AWS Kontonummer und <role-name> ersetzen Sie es durch den Namen der Rolle.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRolePermissions",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::111122223333:role/<role-name>"
            ]
        }
    ]
}

  • Damit Lake Formation Logs zu Logs hinzufügen und Metriken veröffentlichen kann, fügen Sie die folgende Inline-Richtlinie hinzu. CloudWatch

    Anmerkung

    Das Schreiben in CloudWatch Logs ist kostenpflichtig.

    JSON
    
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Sid1",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:PutLogEvents"
            ],
            "Resource": [
                 "arn:aws:logs:us-east-1:111122223333:log-group:/aws-lakeformation-acceleration/*",
                 "arn:aws:logs:us-east-1:111122223333:log-group:/aws-lakeformation-acceleration/*:log-stream:*"
            ]
        }
    ]
}