Verwenden einer Verbundidentität zur Verwaltung des Amazon-Redshift-Zugriffs auf lokale Ressourcen und externe Amazon-Redshift-Spectrum-Tabellen

Erstellen Sie eine IAM-Identität. Dabei kann es sich um einen Benutzer oder eine IAM-Rolle handeln. Verwenden Sie einen beliebigen von IAM unterstützten Namen.

Hängen Sie Berechtigungsrichtlinien an eine Identität an. Geben Sie einen der folgenden Werte an:

Sie können über die IAM-Konsole Berechtigungen mit dem Richtlinien-Editor hinzufügen.

Die IAM-Identität benötigt auch Berechtigungen für den Zugriff auf externe Daten. Gewähren Sie Zugriff auf Amazon S3, indem Sie die folgenden AWS verwalteten Richtlinien direkt hinzufügen:

Die letzte verwaltete Richtlinie ist erforderlich, wenn Sie Ihre externen Daten mit AWS Glue vorbereiten. Weitere Informationen zu den Schritten, mit denen Sie Zugriffs auf Amazon Redshift Spectrum gewähren, finden Sie in Erstellen einer IAM-Rolle für Amazon Redshift. Der Abschnitt ist Teil des Handbuchs „Erste Schritte für Amazon Redshift und Redshift Spectrum“. Darin finden Sie Schritte zum Hinzufügen von IAM-Richtlinien für den Zugriff auf Redshift Spectrum.

Richten Sie Ihren SQL-Client für die Verbindung zu Amazon Redshift ein. Verwenden Sie den Amazon-Redshift-JDBC-Treiber und fügen Sie die Anmeldeinformationen Ihres Benutzers den Anmeldeinformationen des Tools hinzu. Ein Client wie SQL Workbench/J eignet sich dafür gut. Legen Sie die folgenden erweiterten Eigenschaften für Client-Verbindungen fest:

Legen Sie die URL für den JDBC-Endpunkt fest, der sich in der Amazon-Redshift- oder Amazon-Redshift-Serverless-Konsole befindet. Ersetzen Sie Ihr URL-Schema durch jdbc:redshift:iam: und verwenden Sie diese Formatierung:

Nachdem Sie mithilfe einer IAM-Identität zum ersten Mal eine Verbindung mit der Datenbank hergestellt haben, erstellt Amazon Redshift automatisch eine Amazon-Redshift-Identität mit demselben Namen, dem Präfix IAM: für einen Benutzer oder IAMR: für eine IAM-Rolle. Die verbleibenden Schritte in diesem Thema zeigen Beispiele für einen Benutzer.

Wenn ein Redshift-Benutzer nicht automatisch erstellt wird, können Sie einen erstellen, indem Sie unter Verwendung eines Administratorkontos eine CREATE USER-Anweisung ausführen und den Benutzernamen im FormatIAM:<user name> angeben.

Erteilen Sie als Amazon-Redshift-Clusteradministrator dem Redshift-Benutzer die erforderlichen Berechtigungen für den Zugriff auf das externe Schema.

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

Damit Ihr Redshift-Benutzer Tabellen im externen Schema erstellen kann, muss er ein Schemabesitzer sein. Zum Beispiel:

ALTER SCHEMA my_schema owner to "IAM:my_user";

Zur Überprüfung der Konfiguration führen Sie mithilfe des SQL-Clients eine Abfrage als Benutzer aus, nachdem die Berechtigungen erteilt wurden. Dieses Abfragebeispiel ruft Daten aus einer externen Tabelle ab.

SELECT * FROM my_schema.my_table;

Erstellen Sie lokale Tabellen und externe Tabellen. Externe Tabellen, die mit AWS Glue katalogisiert wurden, eigenen sich dafür.

Stellen Sie mit Ihrer IAM-Identität eine Verbindung mit Amazon Redshift her. Wie im vorherigen Abschnitt erwähnt, wird ein Redshift-Datenbankbenutzer erstellt, wenn die Identität eine Verbindung mit Amazon Redshift herstellt. Der Benutzer wird erstellt, wenn er zuvor nicht vorhanden war. Wenn der Benutzer neu ist, muss der Administrator ihm Berechtigungen zum Ausführen von Aufgaben in Amazon Redshift gewähren, wie das Abfragen und Erstellen von Tabellen.

Stellen Sie mit Ihrem Administratorkonto eine Verbindung mit Redshift her. Führen Sie den Befehl aus, um ein externes Schema mit dem Wert „SESSION“ zu erstellen.

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

Beachten Sie, dass in diesem Fall „catalog_id“ festgelegt ist. Dies ist eine neue Einstellung, die mit der Funktion hinzugefügt wurde, da „SESSION“ eine bestimmte Rolle ersetzt.

In diesem Beispiel ahmen die Werte in der Abfrage nach, wie echte Werte angezeigt werden.

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

Der catalog_id Wert ist in diesem Fall Ihre AWS Konto-ID.

Führen Sie Abfragen aus, um auf Ihre externen Daten zuzugreifen. Verwenden Sie dabei die IAM-Identität, mit der Sie in Schritt 2 eine Verbindung hergestellt haben. Zum Beispiel:

select * from spectrum_schema.table1;

In diesem Fall kann table1 beispielsweise in JSON formatierte Daten in einer Datei in einem Amazon-S3-Bucket, verwendet werden.

Wenn Sie bereits über ein externes Schema verfügen, das eine an einen Cluster angehängte IAM-Rolle verwendet und auf Ihre externe Datenbank oder Ihr externes Schema verweist, können Sie wie in diesen Schritten beschrieben entweder das vorhandene Schema ersetzen und eine Verbundidentität verwenden, oder eine neue erstellen.