View a markdown version of this page

Otorgar permisos de lago de datos mediante el método LF-TBAC - AWS Lake Formation
Otorgar permisos para el catálogo de datos mediante el LF-TBAC método

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Otorgar permisos de lago de datos mediante el método LF-TBAC

Puede conceder los permisos de ASSOCIATE Lake Formation DESCRIBE y de Lake Formation LF-Tags a los directores para que puedan ver LF-Tags y asignarlos a los recursos del catálogo de datos (bases de datos, tablas, vistas y columnas). Cuando LF-Tags se asignan a los recursos del catálogo de datos, puede utilizar el método de control de acceso basado en etiquetas (LF-TBAC) de Lake Formation para proteger esos recursos. Para obtener más información, consulte Control de acceso basado en etiquetas de Lake Formation.

Al principio, solo el administrador del lago de datos puede conceder estos permisos. Si el administrador del lago de datos concede estos permisos con la opción de concesión, otras entidades principales podrán otorgarlos. Los permisos DESCRIBE y ASSOCIATE se explican en Prácticas recomendadas y consideraciones sobre el control de acceso basado en etiquetas de Lake Formation.

Puede conceder los ASSOCIATE permisos DESCRIBE y LF-Tag a una AWS cuenta externa. Un administrador del lago de datos de esa cuenta puede entonces conceder esos permisos a otras entidades principales de la cuenta. Los directores a los que el administrador del lago de datos de la cuenta externa les conceda el ASSOCIATE permiso pueden entonces LF-Tags asignar los recursos del catálogo de datos que haya compartido con su cuenta.

Al hacer concesiones a una cuenta externa, debe incluir la opción de concesión.

Puede conceder permisos LF-Tags mediante la AWS Lake Formation consola, la API o el AWS Command Line Interface (AWS CLI).

nota

Los siguientes pasos no son necesarios para los catálogos de Tablas de S3. Puede utilizarlos LF-Tags para conceder permisos en los catálogos de S3 Tables existentes sin eliminarlos ni volver a crearlos.

Habilitar LF-Tags el soporte para los catálogos federados existentes que utilizan los permisos de Lake Formation

Siga estos pasos si tiene catálogos federados existentes que utilizan permisos de Lake Formation, como Amazon Redshift, Amazon DynamoDB o catálogos que se crearon LF-Tags antes de que estuviera disponible el soporte para los catálogos federados.

  1. Eliminar el catálogo existente: llame a la operación de la API deleteCatalog para eliminar el catálogo federado existente que usa los permisos de Lake Formation.

  2. Cree un nuevo catálogo federado: cree un catálogo nuevo y dirija el nuevo catálogo al existente. namespace/datashare

    Use un nombre nuevo para el catálogo: este proceso actualiza los catálogos federados preexistentes para que sean compatibles con la funcionalidad. LF-Tag Si desea utilizar el mismo nombre de catálogo, póngase en contacto con el equipo de AWS soporte para obtener ayuda.

Véase también

Concesión de permisos del catálogo de datos

Utilice la consola de Lake Formation o conceda permisos AWS CLI a Lake Formation en las bases de datos, tablas, vistas y columnas del catálogo de datos mediante el método de control de acceso basado en etiquetas (LF-TBAC) de Lake Formation.

Console

En los siguientes pasos se explica cómo conceder permisos mediante el método de control de acceso basado en etiquetas (LF-TBAC) de Lake Formation y la página de concesión de permisos de lagos de datos de la consola de Lake Formation. La página está dividida en las secciones siguientes:

  • Responsables: los usuarios, las funciones y Cuentas de AWS a los que se deben conceder los permisos.

  • LF-Tags o recursos del catálogo: las bases de datos, las tablas o los enlaces a los recursos para conceder permisos.

  • Permisos. Los permisos de Lake Formation que se conceden.

  1. Abra la página Conceder permisos de lagos de datos.

    Abra la AWS Lake Formation consola en https://console.aws.amazon.com/lakeformation/e inicie sesión como administrador de un lago de datos o como usuario al que se le hayan otorgado permisos de Lake Formation sobre los recursos del catálogo de datos LF-TBAC mediante la opción de concesión.

    En el panel de navegación, en Permisos, seleccione Permisos de lago de datos. A continuación, seleccione Conceder.

  2. Especifique las entidades principales.

    En la sección Entidades principales, elija uno de los tipos y, a continuación, especifique las que van a recibir los permisos concedidos.

    La sección Entidades principales contiene cuatro iconos con nombre en el texto siguiente. Cada mosaico contiene un botón de opción y un texto. Al seleccionar el icono de IAM Identity Center, debajo de los mosaicos aparece una lista desplegable de usuarios y grupos.
    Usuarios y roles de IAM

    Elija uno o varios usuarios o roles en la lista de usuarios y roles de IAM.

    IAM Identity Center

    Elija uno o varios usuarios o en la lista de Usuarios y grupos.

    Usuarios y grupos de SAML

    Para los usuarios y grupos de SAML y Quick, introduzca uno o más nombres de recursos de Amazon (ARN) para los usuarios o grupos federados a través de SAML, o ARN para los usuarios o grupos de Quick. Pulse Intro después de cada ARN.

    Para obtener información sobre cómo crear ARN, consulte Concesión y revocación de Lake Formation AWS CLI Comandos de la de.

    nota

    La integración de Lake Formation con Quick solo es compatible con Quick Enterprise Edition.

    Cuentas externas

    Para Cuentas de AWS AWS la organización o el director de IAM, introduzca uno o más Cuenta de AWS ID, ID de organización, ID de unidad organizativa o ARN válidos para el usuario o rol de IAM. Pulse Intro después de cada ID.

    El ID de una organización está formado por una "o-" seguida de 10 a 32 letras minúsculas o dígitos.

    Un ID de una unidad organizativa comienza por «ou-» seguidos de 4 a 32 letras minúsculas o dígitos (el ID de la raíz que contiene la UO). Esta cadena va seguida de un segundo guion «-» y de 8 a 32 letras minúsculas o dígitos adicionales.

  3. Especifique el. LF-Tags

    Asegúrese de elegir los recursos coincidentes por LF-Tags opción. Elija pares LF-Tag clave-valor o expresiones guardadas LF-Tag .

    1. Si elige la opción de pares LF-Tag clave-valor, elija las claves y los valores.

      Si elige más de un valor, está creando una LF-Tag expresión con un OR operador. Esto significa que si alguno de los LF-Tag valores coincide con un recurso LF-Tag asignado a un catálogo de datos, se le conceden permisos sobre el recurso.

      La LF-Tag sección de recursos de nuestro catálogo contiene dos teselas dispuestas horizontalmente, cada una de las cuales contiene un botón de opción y un texto descriptivo. Las opciones son Recursos coincidentes LF-Tags (recomendados) y Recursos del catálogo de datos con nombre asignado. LF-Tags Se seleccionan los recursos coincidentes por. Bajo los mosaicos hay un campo Clave y un campo Valores dispuestos en horizontal. El campo Clave contiene "módulo" y el campo Valores es una lista desplegable que contiene tres entradas: Pedidos, Ventas y Clientes. Cada entrada tiene una casilla de verificación. La casilla Clientes está seleccionada. A la derecha de estos dos campos hay un botón Eliminar. En la parte inferior hay un LF-Tag botón Añadir, que indica que puede añadir otra fila que contenga los campos Clave y Valores y un botón Eliminar.

    2. (Opcional) Vuelva a seleccionar Añadir par LF-Tag clave-valor para especificar otro. LF-Tag

      Si especifica más de uno LF-Tag, está creando una LF-Tag expresión con un AND operador. Al principal se le conceden permisos sobre un recurso del catálogo de datos solo si al recurso se le ha asignado una coincidencia LF-Tag para cada uno de los LF-Tag elementos de la LF-Tag expresión.

    3. Seleccione la opción Guardar como expresión nueva para volver a utilizar la expresión.

      Necesita Create LF-Tag expression para guardar expresiones.

      Para obtener más información sobre LF-Tag las expresiones, consulteGestión de LF-Tag expresiones para el control de acceso a los metadatos.

  4. Especifique los permisos.

    Especifique los permisos que se conceden a la entidad principal sobre los recursos coincidentes del catálogo de datos. Los recursos coincidentes son aquellos recursos que se asignaron y LF-Tags que coinciden con una de las LF-Tag expresiones otorgadas al principal.

    Puede especificar los permisos que se van a conceder sobre las bases de datos coincidentes, las tablas coincidentes y las vistas coincidentes.

    Se muestran dos secciones de la página. La sección Permisos de la base de datos contiene casillas de verificación para los permisos de la base de datos y los permisos concedibles. Debajo de la sección Base de datos, la sección Permisos de tabla muestra las casillas de verificación para los permisos de tabla y los permisos concedibles.

    En Permisos de base de datos, seleccione los permisos de base de datos que se concederán a la entidad principal en las bases de datos coincidentes.

    En Permisos de tabla, seleccione los que se concederán a la entidad principal en las tablas y vistas coincidentes.

    También puede elegir Select,Describe y permisos de Drop en Permisos de tabla y aplicarlos a las vistas.

  5. Elija Conceder.

AWS CLI

Puede usar el método AWS Command Line Interface (AWS CLI) y el método de control de acceso basado en etiquetas (LF-TBAC) de Lake Formation para conceder permisos de Lake Formation en las bases de datos, tablas y columnas del catálogo de datos.

Otorgar permisos para lagos de datos mediante el AWS CLI y el LF-TBAC método

  • Utilice el comando grant-permissions.

    ejemplo

    El siguiente ejemplo otorga la LF-Tag expresión "module=*" (todos los valores de la LF-Tag clavemodule) al usuariodatalake_user1. Ese usuario tendrá el CREATE_TABLE permiso para acceder a todas las bases de datos coincidentes, es decir, las bases de datos a las que se les haya asignado la LF-Tag clavemodule, con cualquier valor.

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "CREATE_TABLE" --resource '{ "LFTagPolicy": {"CatalogId":"111122223333","ResourceType":"DATABASE","Expression":[{"TagKey":"module","TagValues":["*"]}]}}'
    ejemplo

    El siguiente ejemplo concede la LF-Tag expresión "(level=director) AND (region=west OR region=south)" al usuario. datalake_user1 Ese usuario tendrá los permisos SELECT, ALTER, y DROP con la opción de concesión en las tablas que coincidan (tablas a las que se les haya asignado tanto level=director como (region=west o region=south).

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "SELECT" "ALTER" "DROP" --permissions-with-grant-option "SELECT" "ALTER" "DROP" --resource '{ "LFTagPolicy": {"CatalogId":"111122223333","ResourceType":"TABLE","Expression": [{"TagKey": "level","TagValues": ["director"]},{"TagKey": "region","TagValues": ["west", "south"]}]}}'
    ejemplo

    El siguiente ejemplo otorga la LF-Tag expresión module=orders "» a la AWS cuenta 1234-5678-9012. El administrador del lago de datos de esa cuenta puede entonces conceder la expresión "module=orders" a las entidades principales de su cuenta. Esos directores tendrán entonces CREATE_TABLE permiso para hacer coincidir las bases de datos propiedad de la cuenta 1111-2222-3333 y compartidas con la cuenta 1234-5678-9012 mediante el método de recurso designado o el método. LF-TBAC 

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=123456789012 --permissions "CREATE_TABLE" --permissions-with-grant-option "CREATE_TABLE" --resource '{ "LFTagPolicy": {"CatalogId":"111122223333","ResourceType":"DATABASE","Expression":[{"TagKey":"module","TagValues":["orders"]}]}}'