View a markdown version of this page

Einrichtung AWS Lake Formation mit IAM Identity Center - AWS IAM Identity Center
VoraussetzungenSchritte zum Einrichten der Verbreitung vertrauenswürdiger IdentitätenVertrauenswürdige Identitätsverbreitung mit Lake Formation Across AWS-Konten

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichtung AWS Lake Formation mit IAM Identity Center

AWS Lake Formationist ein verwalteter Dienst, der die Erstellung und Verwaltung von Data Lakes on AWS vereinfacht. Er automatisiert die Datenerfassung, Katalogisierung und Sicherheit und bietet ein zentrales Repository für die Speicherung und Analyse verschiedener Datentypen. Lake Formation bietet detaillierte Zugriffskontrollen und lässt sich in verschiedene AWS Analysedienste integrieren, sodass Unternehmen ihre Data Lakes effizient einrichten, sichern und Erkenntnisse aus ihnen ableiten können.

Folgen Sie diesen Schritten, damit Lake Formation mithilfe von IAM Identity Center und Trusted Identity Propagation Datenberechtigungen auf der Grundlage der Benutzeridentität gewähren kann.

Voraussetzungen

Bevor Sie mit diesem Tutorial beginnen können, müssen Sie Folgendes einrichten:

Schritte zum Einrichten der Verbreitung vertrauenswürdiger Identitäten

  1. Integrieren Sie IAM Identity Center, indem AWS Lake Formation Sie die Anweisungen unter Verbinden von Lake Formation mit IAM Identity Center befolgen.

    Wichtig

    Wenn Sie keine AWS Glue Data Catalog Tabellen haben, müssen Sie diese erstellen, um IAM Identity Center-Benutzern und -Gruppen Zugriff zu gewähren. AWS Lake Formation Weitere Informationen finden Sie unter Objekte erstellen in AWS Glue Data Catalog.

  2. Registrieren Sie die Standorte von Data Lake.

    Registrieren Sie die S3-Speicherorte, an denen die Daten der Glue-Tabellen gespeichert sind. Auf diese Weise gewährt Lake Formation temporären Zugriff auf die erforderlichen S3-Speicherorte, wenn die Tabellen abgefragt werden. Dadurch entfällt die Notwendigkeit, S3-Berechtigungen in die Servicerolle aufzunehmen (z. B. die auf der konfigurierte Athena-Servicerolle). WorkGroup

    1. Navigieren Sie im Navigationsbereich der Konsole im Abschnitt Administration zu den Data Lake-Speicherorten. AWS Lake Formation Wählen Sie Standort registrieren aus.

      Dadurch kann Lake Formation temporäre IAM-Anmeldeinformationen mit den erforderlichen Berechtigungen für den Zugriff auf S3-Datenspeicherorte bereitstellen.

      Schritt 1 Registrieren Sie den Standort des Data Lake in der Lake Formation-Konsole.

    2. Geben Sie den S3-Pfad der Datenspeicherorte der AWS Glue Tabellen in das Amazon S3-Pfadfeld ein.

    3. Wählen Sie im Abschnitt „IAM-Rolle“ nicht die mit dem Service verknüpfte Rolle aus, wenn Sie sie für die Weitergabe vertrauenswürdiger Identitäten verwenden möchten. Erstellen Sie eine separate Rolle mit den folgenden Berechtigungen.

      Um diese Richtlinien zu verwenden, ersetzen Sie die Richtlinie italicized placeholder text im Beispiel durch Ihre eigenen Informationen. Weitere Anweisungen finden Sie unter Richtlinie erstellen oder Richtlinie bearbeiten. Die Berechtigungsrichtlinie sollte den Zugriff auf den im Pfad angegebenen S3-Speicherort gewähren:

      1. Genehmigungsrichtlinie:

        JSON
        {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LakeFormationDataAccessPermissionsForS3",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::Your-S3-Bucket/*"
            ]
        },
        {
            "Sid": "LakeFormationDataAccessPermissionsForS3ListBucket",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::Your-S3-Bucket"
            ]
        },
        {
            "Sid": "LakeFormationDataAccessServiceRolePolicy",
            "Effect": "Allow",
            "Action": [
                "s3:ListAllMyBuckets"
            ],
            "Resource": [
                "arn:aws:s3:::*"
            ]
        }
    ]
}

      2. Vertrauensbeziehung: Dazu sollte gehörensts:SectContext, was für die Verbreitung vertrauenswürdiger Identitäten erforderlich ist.

        JSON
        {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "",
            "Effect": "Allow",
            "Principal": {
                "Service": "lakeformation.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ]
        }
    ]
}
        Anmerkung

        Bei der vom Assistenten erstellten IAM-Rolle handelt es sich um eine dienstbezogene Rolle, die Folgendes nicht umfasst. sts:SetContext

    4. Wählen Sie nach dem Erstellen der IAM-Rolle die Option Standort registrieren aus.

Vertrauenswürdige Identitätsverbreitung mit Lake Formation Across AWS-Konten

AWS Lake Formation unterstützt die Verwendung von AWS Resource Access Manager (RAM) zur gemeinsamen Nutzung von Tabellen AWS-Konten und funktioniert mit der Weitergabe vertrauenswürdiger Identitäten, wenn sich das Konto des Zuschussempfängers und das Konto des Empfängers in derselben AWS-Region, derselben Organisationsinstanz von IAM Identity Center befinden und dieselbe Organisationsinstanz verwenden. AWS Organizations Weitere Informationen finden Sie unter Cross-account Datenaustausch in Lake Formation.