Einrichten der Integration von AWS IAM Identity Center mit Amazon Redshift - Amazon Redshift
VoraussetzungenKonfigurieren Ihres Identitätsanbieters für AWS IAM Identity CenterEinrichten von Redshift als von AWS verwaltete Anwendung mit AWS IAM Identity CenterAktivieren der Integration von AWS IAM Identity Center für einen neuen Amazon-Redshift-Cluster oder eine Arbeitsgruppe in Amazon Redshift ServerlessEinrichten von Benutzerberechtigungen

Amazon Redshift unterstützt ab dem 1. November 2025 nicht mehr die Erstellung neuer Python-UDFs. Wenn Sie Python-UDFs verwenden möchten, erstellen Sie die UDFs vor diesem Datum. Bestehende Python-UDFs funktionieren weiterhin wie gewohnt. Weitere Informationen finden Sie im Blog-Posting.

Einrichten der Integration von AWS IAM Identity Center mit Amazon Redshift

Der Administrator des Amazon-Redshift-Clusters oder von Amazon Redshift Serverless muss verschiedene Schritte ausführen, um Redshift für AWS IAM Identity Center zu konfigurieren. Auf diese Weise kann Redshift das AWS IAM Identity Center automatisch erkennen und eine Verbindung zu ihm herstellen, um Anmelde- und Benutzerverzeichnisservices zu nutzen. Anschließend kann Ihr Redshift-Administrator während der Erstellung eines Clusters oder einer Arbeitsgruppe das neue Data Warehouse so einrichten, dass es AWS IAM Identity Center zur Verwaltung des Datenbankzugriffs verwendet.

Wenn Sie Redshift als von AWS IAM Identity Center verwaltete Anwendung konfigurieren, können Sie Benutzer- und Gruppenberechtigungen über AWS IAM Identity Center oder einen externen Identitätsanbieter steuern, der mit dem System integriert ist. Wenn sich Ihre Datenbankbenutzer bei einer Redshift-Datenbank anmelden, z. B. Analysten oder Datenwissenschaftler, werden ihre Gruppen in AWS IAM Identity Center überprüft und mit den Rollennamen in Redshift abgeglichen. So kann eine Gruppe, die den Namen für eine Redshift-Datenbankrolle definiert, auf Tabellen zugreifen, beispielsweise für Vertriebsanalysen. In den folgenden Abschnitten wird gezeigt, wie dies eingerichtet wird.

Voraussetzungen

Dies sind die Voraussetzungen für die Integration von AWS IAM Identity Center mit Amazon Redshift:

  • Kontokonfiguration – Sie müssen AWS IAM Identity Center im Verwaltungskonto Ihrer AWS-Organisation konfigurieren, wenn Sie kontoübergreifende Anwendungsfälle planen oder Redshift-Cluster in verschiedenen Konten mit derselben Instance von AWS IAM Identity Center verwenden. Dies umfasst auch die Konfiguration Ihrer Identitätsquelle. Weitere Informationen finden Sie unter Erste Schritte, Mitarbeiteridentitäten und Unterstützte Identitätsanbieter im AWS-IAM-Identity-Center-Benutzerhandbuch. Sie müssen Benutzer oder Gruppen in AWS IAM Identity Center erstellt haben oder Benutzer und Gruppen aus Ihrer Identitätsquelle synchronisiert haben, bevor Sie diese zu Daten in Redshift zuweisen können.

    Anmerkung

    Sie können eine Konto-Instance von AWS IAM Identity Center verwenden, wenn sich Redshift und AWS IAM Identity Center im selben Konto befinden. Sie können diese Instance mitttels eines Widgets erstellen, wenn Sie einen Redshift-Cluster oder eine Redshift-Arbeitsgruppe erstellen und konfigurieren.

  • Konfigurieren eines vertrauenswürdigen Token-Ausstellers – In einigen Fällen müssen Sie möglicherweise einen vertrauenswürdigen Token-Aussteller verwenden. Dies ist eine Entität, die vertrauenswürdige Token ausstellen und verifizieren kann. Bevor der Redshift-Administrator, der die Integration von AWS IAM Identity Center konfiguriert, den vertrauenswürdigen Token-Aussteller auswählen und zum Abschluss der Konfiguration die erforderlichen Attribute hinzufügen kann, müssen einige Schritte zur Vorbereitung ausgeführt werden. Dies kann bedeuten, einen externen Identitätsanbieter als vertrauenswürdigen Token-Aussteller zu konfigurieren und dessen Attribute in der Konsole von AWS IAM Identity Center hinzuzufügen. Informationen zu diesen Schritten finden Sie unter Using applications with a trusted token issuer.

    Anmerkung

    Die Einrichtung eines vertrauenswürdigen Token-Ausstellers ist nicht für alle externen Verbindungen erforderlich. Für die Verbindung mit Ihrer Redshift-Datenbank mit dem Amazon Redshift Query Editor v2 ist keine Konfiguration des vertrauenswürdigen Token-Ausstellers erforderlich. Dies kann jedoch für Anwendungen von Drittanbietern wie Dashboards oder benutzerdefinierte Anwendungen gelten, die sich bei Ihrem Identitätsanbieter authentifizieren.

  • Konfigurieren einer oder mehrerer IAM-Rollen – In den folgenden Abschnitten werden Berechtigungen genannt, die konfiguriert werden müssen. Sie müssen Berechtigungen gemäß bewährten IAM-Methoden hinzufügen. Die spezifischen Berechtigungen werden in den folgenden Verfahren beschrieben.

Weitere Informationen finden Sie unter Getting Started with AWS IAM Identity Center.

Konfigurieren Ihres Identitätsanbieters für AWS IAM Identity Center

Der erste Schritt bei der Benutzer- und Gruppenidentitätsverwaltung besteht in der Herstellung einer Verbindung mit AWS IAM Identity Center und der Konfiguration des Identitätsanbieters. Sie können AWS IAM Identity Center als Identitätsanbieter verwenden oder eine Verbindung zum Identitätsspeicher eines Drittanbieters herstellen, z. B. Okta. Weitere Informationen zum Einrichten der Verbindung zum Identitätsanbieter und zu dessen Konfiguration finden Sie unter Verbinden mit einem externen Identitätsanbieter im Benutzerhandbuch zu AWS IAM Identity Center. Fügen Sie am Ende dieses Vorgangs zu Testzwecken eine kleine Sammlung von Benutzern und Gruppen zu AWS IAM Identity Center hinzu.

Administrative Berechtigungen

Erforderliche Berechtigungen für die Lebenszyklusverwaltung von Redshift-/AWS-IAM-Identity-Center-Anwendungen

Sie müssen eine IAM-Rolle erstellen, die ein Redshift-Administrator für die Konfiguration von Redshift für AWS IAM Identity Center verwenden kann. In den meisten Fällen würden Sie eine IAM-Rolle mit Berechtigungen erstellen und sie nach Bedarf anderen Identitäten zuweisen. Sie muss über die aufgeführten Berechtigungen verfügen, um die folgenden Aktionen ausführen zu können.

Erstellen der Redshift-/AWS-IAM-Identity-Center-Anwendung

  • sso:PutApplicationAssignmentConfiguration – Für die Security.

  • sso:CreateApplication – Zum Erstellen einer AWS-IAM-Identity-Center-Anwendung verwendet.

  • sso:PutApplicationAuthenticationMethod – Gewährt Redshift-Authentifizierungszugriff.

  • sso:PutApplicationGrant – Zur Änderung der Informationen zu vertrauenswürdigen Token-Ausstellern verwendet.

  • sso:PutApplicationAccessScope – Zum Einrichten der Redshift-AWS-IAM-Identity-Center-Anwendung. Dies gilt auch für AWS Lake Formation und für Amazon S3 Access Grants.

  • redshift:CreateRedshiftIdcApplication – Zum Erstellen der Redshift-AWS-IAM-Identity-Center-Anwendung verwendet.

Beschreiben der Redshift-/AWS-IAM-Identity-Center-Anwendung

  • sso:GetApplicationGrant – Zum Auflisten der Informationen zu vertrauenswürdigen Token-Ausstellern verwendet.

  • sso:ListApplicationAccessScopes – Für die Einrichtung der Redshift-AWS-IAM-Identity-Center-Anwendung zur Auflistung nachgelagerter Integrationen, beispielsweise für AWS Lake Formation und S3 Access Grants.

  • redshift:DescribeRedshiftIdcApplications – Wird verwendet, um bestehende AWS-IAM-Identity-Center-Anwendungen zu beschreiben.

Ändern der Redshift-/AWS-IAM-Identity-Center-Anwendung

  • redshift:ModifyRedshiftIdcApplication – Zur Änderung einer bestehenden Redshift-Anwendung verwendet.

  • sso:UpdateApplication – Zur Aktualisierung einer AWS-IAM-Identity-Center-Anwendung verwendet.

  • sso:GetApplicationGrant – Ruft die Informationen zum vertrauenswürdigen Token-Aussteller ab.

  • sso:ListApplicationAccessScopes – Zum Einrichten der Redshift-AWS-IAM-Identity-Center-Anwendung.

  • sso:DeleteApplicationGrant – Löscht die Informationen zum vertrauenswürdigen Token-Aussteller.

  • sso:PutApplicationGrant – Zur Änderung der Informationen zu vertrauenswürdigen Token-Ausstellern verwendet.

  • sso:PutApplicationAccessScope – Zum Einrichten der Redshift-AWS-IAM-Identity-Center-Anwendung. Dies gilt auch für AWS Lake Formation und für Amazon S3 Access Grants.

  • sso:DeleteApplicationAccessScope – Zum Löschen der Einrichtung der Redshift-AWS-IAM-Identity-Center-Anwendung. Dies gilt auch für AWS Lake Formation und für Amazon S3 Access Grants.

Löschen der Redshift-/AWS-IAM-Identity-Center-Anwendung

  • sso:DeleteApplication – Zum Löschen einer AWS-IAM-Identity-Center-Anwendung verwendet.

  • redshift:DeleteRedshiftIdcApplication – Ermöglicht das Löschen einer bestehenden Redshift-AWS-IAM-Identity-Center-Anwendung.

Erforderliche Berechtigungen für die Lebenszyklusverwaltung von Redshift-/Query-Editor-v2-Anwendungen

Sie müssen eine IAM-Rolle erstellen, die ein Redshift-Administrator für die Konfiguration von Redshift für AWS IAM Identity Center verwenden kann. In den meisten Fällen würden Sie eine IAM-Rolle mit Berechtigungen erstellen und sie nach Bedarf anderen Identitäten zuweisen. Sie muss über die aufgeführten Berechtigungen verfügen, um die folgenden Aktionen ausführen zu können.

Erstellen der Query-Editor-v2-Anwendung

  • redshift:CreateQev2IdcApplication – Wird verwendet, um die QEV2-Anwendung zu erstellen.

  • sso:CreateApplication – Bietet die Möglichkeit zum Erstellen einer AWS-IAM-Identity-Center-Anwendung.

  • sso:PutApplicationAuthenticationMethod – Gewährt Redshift-Authentifizierungszugriff.

  • sso:PutApplicationGrant – Zur Änderung der Informationen zu vertrauenswürdigen Token-Ausstellern verwendet.

  • sso:PutApplicationAccessScope – Zum Einrichten der Redshift-AWS-IAM-Identity-Center-Anwendung. Dies umfasst auch den Query Editor v2.

  • sso:PutApplicationAssignmentConfiguration – Für die Security.

Beschreiben der Query-Editor-v2-Anwendung

  • redshift:DescribeQev2IdcApplications – Wird verwendet, um die AWS-IAM-Identity-Center-QEV2-Anwendung zu beschreiben.

Ändern der Query-Editor-v2-Anwendung

  • redshift:ModifyQev2IdcApplication – Wird verwendet, um die AWS-IAM-Identity-Center-QEV2-Anwendung zu ändern.

  • sso:UpdateApplication – Wird verwendet, um die AWS-IAM-Identity-Center-QEV2-Anwendung zu ändern.

Löschen der Query-Editor-v2-Anwendung

  • redshift:DeleteQev2IdcApplication – Wird verwendet, um die QEV2-Anwendung zu löschen.

  • sso:DeleteApplication – Wird verwendet, um die QEV2-Anwendung zu löschen.

Anmerkung

Im Amazon-Redshift-SDK sind die folgenden APIs nicht verfügbar:

  • CreateQev2IdcApplication

  • DescribeQev2IdcApplications

  • ModifyQev2IdcApplication

  • DeleteQev2IdcApplication

Diese Aktionen sind spezifisch für die Durchführung der Integration von AWS IAM Identity Center mit Redshift-QEV2 in der AWS-Konsole. Weitere Informationen finden Sie unter Actions defined by Amazon Redshift.

Erforderliche Berechtigungen für den Datenbankadministrator, um neue Ressourcen in der Konsole zu verbinden

Diese Berechtigungen sind erforderlich, um neue bereitgestellte Cluster oder Arbeitsgruppen in Amazon Redshift Serverless während der Erstellung zu verbinden. Wenn Sie diese Berechtigungen besitzen, werden in der Konsole Optionen für die Verbindung mit der von AWS IAM Identity Center verwalteten Anwendung für Redshift angezeigt.

  • redshift:DescribeRedshiftIdcApplications

  • sso:ListApplicationAccessScopes

  • sso:GetApplicationAccessScope

  • sso:GetApplicationGrant

Als bewährte Methode empfehlen wir, einer IAM-Rolle Berechtigungsrichtlinien anzufügen und sie dann nach Bedarf Benutzern und Gruppen zuzuweisen. Weitere Informationen finden Sie unter Identity and Access Management in Amazon Redshift.

Einrichten von Redshift als von AWS verwaltete Anwendung mit AWS IAM Identity Center

Bevor AWS IAM Identity Center Identitäten für einen von Amazon Redshift bereitgestellten Cluster oder eine Arbeitsgruppe in Amazon Redshift Serverless verwalten kann, muss der Redshift-Administrator die folgenden Schritte ausführen, um Redshift zu einer von AWS IAM Identity Center verwalteten Anwendung zu machen:

  1. Wählen Sie im Konsolenmenü von Amazon Redshift oder Amazon Redshift Serverless die Option AWS-IAM-Identity-Center-Integration und dann Mit AWS IAM Identity Center verbinden aus. Anschließend werden Sie durch verschiedene Optionen geleitet, um die Eigenschaften für die Integration von AWS IAM Identity Center auszuwählen.

  2. Wählen Sie einen Anzeigenamen und einen eindeutigen Namen für die von AWS IAM Identity Center verwaltete Redshift-Anwendung aus.

  3. Geben Sie den Namespace für Ihre Organisation an. Dies ist in der Regel eine abgekürzte Version des Namens Ihrer Organisation. Dieser wird Ihren von AWS IAM Identity Center verwalteten Benutzern und Rollen in der Redshift-Datenbank als Präfix vorangestellt.

  4. Wählen Sie die IAM-Rolle aus, die verwendet werden soll. Diese IAM-Rolle sollte von anderen Rollen getrennt sein, die für Redshift verwendet werden. Wir empfehlen, sie nicht für andere Zwecke zu verwenden. Die folgenden spezifischen Richtlinienberechtigungen sind erforderlich:

    • sso:DescribeApplication – Zur Erstellung eines Identitätsanbieters (IdP) im Katalog erforderlich.

    • sso:DescribeInstance – Zur manuellen Erstellung von IdP-Verbundrollen oder -Benutzern verwendet.

  5. Konfigurieren Sie Client-Verbindungen und vertrauenswürdige Token-Aussteller. Die Konfiguration vertrauenswürdiger Token-Aussteller ermöglicht die Verbreitung vertrauenswürdiger Identitäten, indem eine Beziehung mit einem externen Identitätsanbieter eingerichtet wird. Die Verbreitung von Identitäten ermöglicht Benutzern beispielsweise, sich bei einer Anwendung anzumelden und auf bestimmte Daten in einer anderen Anwendung zuzugreifen. So können Benutzer Daten von unterschiedlichen Standorten einfacher sammeln. In diesem Schritt legen Sie in der Konsole Attribute für jeden vertrauenswürdigen Token-Aussteller fest. Zu den Attributen gehören der Name und der Zielgruppenanspruch (oder Aud-Claim), die Sie möglicherweise aus den Konfigurationsattributen des Tools oder Service abrufen müssen. Möglicherweise müssen Sie auch den Namen der Anwendung aus dem JSON Web Token (JWT) des Drittanbieter-Tools bereitstellen.

    Anmerkung

    Der aud claim, der von den einzelnen Drittanbieter-Tools oder Services abgerufen werden muss, ist vom Token-Typ abhängig. Dabei kann es sich um ein von einem Identitätsanbieter ausgestelltes Zugriffstoken oder um einen anderen Typ handeln, z. B. ein ID-Token. Jeder Anbieter kann sich hier unterscheiden. Wenn Sie die Verbreitung vertrauenswürdiger Identitäten und die Integration mit Redshift implementieren, müssen Sie den richtigen aud-Wert für den Token-Typ bereitstellen, den das Drittanbieter-Tool an AWS sendet. Lesen Sie die Empfehlungen Ihres Tools oder Serviceanbieters.

    Ausführliche Informationen zur Weitergabe von vertrauenswürdigen Identitäten finden Sie unter Trusted identity propagation overview im Benutzerhandbuch für AWS IAM Identity Center.

Nachdem der Redshift-Administrator die Schritte abgeschlossen und die Konfiguration gespeichert hat, werden die Eigenschaften von AWS IAM Identity Center in der Redshift-Konsole angezeigt. Sie können auch die Systemansicht SVV_IDENTITY_PROVIDERS abfragen, um die Eigenschaften der Anwendung zu überprüfen. Zu diesen gehören auch der Anwendungsname und der Namespace. Sie verwenden den Namespace als Präfix für Redshift-Datenbankobjekte, die der Anwendung zugeordnet sind. Die Ausführung dieser Aufgaben macht Redshift zu einer Anwendung, die mit AWS IAM Identity Center kompatibel ist. Die Eigenschaften in der Konsole umfassen auch den Integrationsstatus. Wenn die Integration abgeschlossen ist, wird Aktiviert angezeigt. Nach diesem Vorgang kann die Integration von AWS IAM Identity Center für jeden neuen Cluster aktiviert werden.

Nach der Konfiguration können Sie Benutzer und Gruppen aus AWS IAM Identity Center in Redshift integrieren, indem Sie die Registerkarte Benutzer oder Gruppen und dann Zuweisen auswählen.

Aktivieren der Integration von AWS IAM Identity Center für einen neuen Amazon-Redshift-Cluster oder eine Arbeitsgruppe in Amazon Redshift Serverless

Ihr Datenbankadministrator richtet die Konfiguration neuer Redshift-Ressourcen auf AWS IAM Identity Center aus, um Anmeldung und Datenzugriff zu vereinfachen. Dies erfolgt im Rahmen der Schritte zur Erstellung eines bereitgestellten Clusters oder einer Serverless-Arbeitsgruppe. Alle, die über Berechtigungen zum Erstellen von Redshift-Ressourcen verfügen, können diese Aufgaben zur Integration von AWS IAM Identity Center durchführen. Wenn Sie einen bereitgestellten Cluster erstellen, wählen Sie zunächst in der Amazon-Redshift-Konsole die Option Cluster erstellen aus. Die folgenden Schritte zeigen, wie Sie die Verwaltung von AWS IAM Identity Center-für eine Datenbank aktivieren. (Es werden nicht alle Schritte zum Erstellen eines Clusters beschrieben.)

  1. Wählen Sie in den Schritten zum Erstellen eines Clusters im Abschnitt für die IAM-Identity-Center-Integration die Option Für <Name Ihres Clusters> aktivieren aus.

  2. Es gibt einen Schritt im Prozess, in dem Sie die Integration aktivieren. Hierzu wählen Sie in der Konsole IAM-Identity-Center-Integration aktivieren aus.

  3. Erstellen Sie für den neuen Cluster oder die neue Arbeitsgruppe in Redshift Datenbankrollen mittels SQL-Befehlen aus. Dies ist der Befehl:

    CREATE ROLE <idcnamespace:rolename>;

    Der Namespace und der Rollenname sind:

    • IAM-Identity-Center-Namespace-Präfix – Dies ist der Namespace, den Sie beim Einrichten der Verbindung zwischen AWS IAM Identity Center und Redshift definiert haben.

    • Rollenname – Diese Redshift-Datenbankrolle muss mit dem Gruppennamen in AWSIAM Identity Center übereinstimmen.

    Redshift stellt eine Verbindung mit AWS IAM Identity Center her und ruft die Informationen ab, die für die Erstellung und Zuordnung der Datenbankrolle zur AWS-IAM-Identity-Center-Gruppe erforderlich sind.

Beachten Sie, dass bei der Erstellung eines neuen Data Warehouse die für die Integration von AWS IAM Identity Center angegebene IAM-Rolle automatisch dem bereitgestellten Cluster oder der Arbeitsgruppe in Amazon Redshift Serverless angefügt wird. Nachdem Sie die erforderlichen Cluster-Metadaten eingegeben und die Ressource erstellt haben, können Sie den Status der Integration von AWS IAM Identity Center in den Eigenschaften überprüfen. Wenn Ihre Gruppennamen in AWS IAM Identity Center Leerzeichen enthalten, müssen Sie bei der Erstellung der entsprechenden Rolle in SQL Anführungszeichen verwenden.

Nachdem Sie die Redshift-Datenbank aktiviert und Rollen erstellt haben, können Sie mit dem Amazon Redshift Query Editor v2 oder Amazon Quick Suite eine Verbindung zur Datenbank herstellen. Die Details werden in den folgenden Abschnitten beschrieben.

Einrichten der Standard-RedshiftIdcApplication über die API

Die Einrichtung wird von Ihrem Identitätsadministrator ausgeführt. Sie können über die API eine RedshiftIdcApplication erstellen, die die Redshift-Anwendung in AWS IAM Identity Center darstellt.

  1. Zunächst können Sie Benutzer erstellen und diese zu Gruppen in AWS IAM Identity Center hinzufügen. Sie tun dies in der AWS-Konsole für AWS IAM Identity Center.

  2. Rufen Sie create-redshift-idc-application auf, um eine AWS-IAM-Identity-Center-Anwendung zu erstellen und mit der Redshift-Nutzung kompatibel zu machen. Sie erstellen die Anwendung, indem Sie die erforderlichen Werte eingeben. Der Anzeigename ist der Name, der im Dashboard von AWS IAM Identity Center angezeigt werden soll. Der ARN der IAM-Rolle ist ein ARN, der Berechtigungen für AWS IAM Identity Center besitzt und von Redshift übernommen werden kann.

    aws redshift create-redshift-idc-application
––idc-instance-arn 'arn:aws:sso:::instance/ssoins-1234a01a1b12345d'
––identity-namespace 'MYCO'
––idc-display-name 'TEST-NEW-APPLICATION'
––iam-role-arn 'arn:aws:redshift:us-east-1:012345678901:role/TestRedshiftRole'
––redshift-idc-application-name 'myredshiftidcapplication'

    Das folgende Beispiel zeigt eine RedshiftIdcApplication-Beispielantwort, die vom Aufruf von create-redshift-idc-application zurückgegeben wurde.

    "RedshiftIdcApplication": {
                "IdcInstanceArn": "arn:aws:sso:::instance/ssoins-1234a01a1b12345d",
                "RedshiftIdcApplicationName": "test-application-1",
                "RedshiftIdcApplicationArn": "arn:aws:redshift:us-east-1:012345678901:redshiftidcapplication:12aaa111-3ab2-3ab1-8e90-b2d72aea588b",
                "IdentityNamespace": "MYCO",
                "IdcDisplayName": "Redshift-Idc-Application",
                "IamRoleArn": "arn:aws:redshift:us-east-1:012345678901:role/TestRedshiftRole",
                "IdcManagedApplicationArn": "arn:aws:sso::012345678901:application/ssoins-1234a01a1b12345d/apl-12345678910",
                "IdcOnboardStatus": "arn:aws:redshift:us-east-1:123461817589:redshiftidcapplication",
                "RedshiftIdcApplicationArn": "Completed",
                "AuthorizedTokenIssuerList": [
                       "TrustedTokenIssuerArn": ...,
                       "AuthorizedAudiencesList": [...]...
                ]}

  3. Sie können create-application-assignment verwenden, um der verwalteten Anwendung in AWS IAM Identity Center bestimmte Gruppen oder einzelne Benutzer zuzuweisen. Auf diese Weise können Sie Gruppen angeben, die über AWS IAM Identity Center verwaltet werden sollen. Wenn der Datenbankadministrator Datenbankrollen in Redshift erstellt, werden die Gruppennamen in AWS IAM Identity Center den Rollennamen in Redshift zugeordnet. Die Rollen steuern die Berechtigungen in der Datenbank. Weitere Informationen finden Sie unter Assign user access to applications in the AWS IAM Identity Center console.

  4. Nachdem Sie die Anwendung aktiviert haben, rufen Sie create-cluster auf und fügen Sie den ARN der von Redshift verwalteten Anwendung aus AWS IAM Identity Center hinzu. Hierdurch wird der Cluster mit der verwalteten Anwendung in AWS IAM Identity Center verknüpft.

Zuordnen einer AWS-IAM-Identity-Center-Anwendung zu einem vorhandenen Cluster oder einer vorhandenen Arbeitsgruppe

Wenn Sie Cluster oder Arbeitsgruppen besitzen, die Sie für die Integration von AWS IAM Identity Center aktivieren möchten, können Sie dies mithilfe von SQL-Befehlen tun. Sie können auch SQL-Befehle ausführen, um die Einstellungen für die Integration zu ändern. Weitere Informationen finden Sie unter ALTER IDENTITY PROVIDER.

Es ist auch möglich, einen vorhandenen Identitätsanbieter zu entfernen. Das folgende Beispiel zeigt, wie CASCADE Benutzer und Rollen löscht, die dem Identitätsanbieter angefügt sind.

DROP IDENTITY PROVIDER
<provider_name> [ CASCADE ]

Einrichten von Benutzerberechtigungen

Ein Administrator konfiguriert Berechtigungen für verschiedene Ressourcen basierend auf den Identitätsattributen und Gruppenmitgliedschaften der Benutzer innerhalb des Identitätsanbieters oder direkt in AWS IAM Identity Center. So kann der Administrator des Identitätsanbieters beispielsweise einen Datenbankingenieur zu einer für seine Rolle geeigneten Gruppe hinzufügen. Dieser Gruppenname ist einem Redshift-Datenbankrollennamen zugeordnet. Die Rolle ermöglicht den Zugriff auf bestimmte Tabellen oder Ansichten in Redshift oder schränkt den Zugriff auf diese ein.