Conditions préalables à la génération de statistiques de colonne

Pour créer un rôle IAM pour générer des statistiques de colonne

1. Pour créer un rôle IAM, consultez Create an IAM role for AWS Glue.

2. Pour mettre à jour un rôle existant, dans la console IAM, accédez au rôle IAM utilisé par le processus de génération de statistiques de colonne.

3. Dans la section Ajouter des autorisations, choisissez Attacher des stratégies. Dans la fenêtre du navigateur nouvellement ouverte, choisissez la stratégie AWSGlueServiceRole gérée par AWS.

4. Vous devez également inclure les autorisations pour lire les données à partir de l’emplacement de données Amazon S3.

   Dans la section Ajouter des autorisations, choisissez Créer une stratégie. Dans la fenêtre du navigateur nouvellement ouverte, créez une nouvelle stratégie à utiliser avec votre rôle.

5. Sur la page Créer une stratégie, choisissez l’onglet JSON. Copiez le code JSON suivant dans le champ de l’éditeur de stratégie.

   Note

   Dans les politiques suivantes, remplacez l’ID du compte par un Compte AWS valide et remplacez region par la région de la table et bucket-name par le nom du compartiment Amazon S3.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "S3BucketAccess",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetObject"
               ],
               "Resource": [
               	"arn:aws:s3:::amzn-s3-demo-bucket/*",
   							"arn:aws:s3:::amzn-s3-demo-bucket"
               ]
           }
        ]
   }
   

6. (Facultatif) Si vous utilisez les autorisations Lake Formation pour accéder à vos données, le rôle IAM nécessite des autorisations lakeformation:GetDataAccess.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Sid": "LakeFormationDataAccess",
         "Effect": "Allow",
         "Action": "lakeformation:GetDataAccess",
         "Resource": [
           "*"
         ]
       }
     ]
   }
   

   Si l’emplacement des données Amazon S3 est enregistré auprès de Lake Formation et que le rôle IAM assumé par la tâche de génération de statistiques de colonne ne dispose pas d’autorisations de groupe IAM_ALLOWED_PRINCIPALS accordées sur la table, le rôle nécessite Lake Formation ALTER et des autorisations DESCRIBE sur la table. Le rôle utilisé pour enregistrer le compartiment Amazon S3 nécessite Lake Formation INSERT et des autorisations DELETE sur la table.

   Si l’emplacement des données Amazon S3 n’est pas enregistré auprès de Lake Formation et que le rôle IAM ne dispose pas d’autorisations de groupe IAM_ALLOWED_PRINCIPALS accordées sur la table, le rôle nécessite les autorisations Lake Formation ALTER, DESCRIBE, INSERT et DELETE sur la table.

7. Si vous avez activé l’option Automatic statistics generation au niveau du catalogue, le rôle IAM doit disposer de l’autorisation glue:UpdateCatalog ou de l’autorisation ALTER CATALOG Lake Formation sur le catalogue de données par défaut. Vous pouvez utiliser l’opération GetCatalog pour vérifier les propriétés du catalogue.

8. (Facultatif) La tâche de génération de statistiques de colonne qui écrit Amazon CloudWatch Logs chiffré nécessite les autorisations suivantes dans la stratégie de clé.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Sid": "CWLogsKmsPermissions",
         "Effect": "Allow",
         "Action": [
           "logs:CreateLogGroup",
           "logs:CreateLogStream",
           "logs:PutLogEvents",
           "logs:AssociateKmsKey"
         ],
         "Resource": [
           "arn:aws:logs:us-east-1:111122223333:log-group:/aws-glue:*"
         ]
       },
       {
         "Sid": "KmsPermissions",
         "Effect": "Allow",
         "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt",
           "kms:Encrypt"
         ],
         "Resource": [
           "arn:aws:kms:us-east-1:111122223333:key/arn of key used for ETL cloudwatch encryption"
         ],
         "Condition": {
           "StringEquals": {
             "kms:ViaService": [
               "glue.us-east-1.amazonaws.com"
             ]
           }
         }
       }
     ]
   }
   

9. Le rôle que vous utilisez pour exécuter les statistiques de colonne doit disposer de l’autorisation iam:PassRole correspondante.

   JSON

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "iam:PassRole"
         ],
         "Resource": [
           "arn:aws:iam::111122223333:role/columnstats-role-name"
         ]
       }
     ]
   }
   

10. Lorsque vous créez un rôle IAM pour générer des statistiques de colonne, ce rôle doit également avoir la stratégie d’approbation suivante qui permet au service d’assumer le rôle.

    JSON

    {
      "Version":"2012-10-17",		 	 	 
      "Statement": [
        {
          "Sid": "TrustPolicy",
          "Effect": "Allow",
          "Principal": {
            "Service": "glue.amazonaws.com"
          },
          "Action": "sts:AssumeRole"
        }
      ]
    }