Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Commencer à utiliser la propagation fiable des identités dans l' AWS Glue ETL

Cette section vous aide à configurer AWS Glue l'application avec des sessions interactives afin de l'intégrer à IAM Identity Center et de permettre la propagation d'identités fiables.

Conditions préalables

Autorisations nécessaires pour connecter l' AWS Glue ETL à IAM Identity Center

Créer un rôle IAM

Le rôle qui crée la connexion à IAM Identity Center nécessite des autorisations pour créer et modifier la configuration de l’application dans AWS Glue et IAM Identity Center, conformément à la politique en ligne suivante.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:CreateGlueIdentityCenterConfiguration",
                "sso:CreateApplication",
                "sso:PutApplicationAssignmentConfiguration",
                "sso:PutApplicationAuthenticationMethod",
                "sso:PutApplicationGrant",
                "sso:PutApplicationAccessScope",
                "sso:ListInstances"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Les politiques en ligne suivantes contiennent des autorisations spécifiques requises pour afficher, mettre à jour et supprimer les propriétés d’intégration d’ AWS Glue avec IAM Identity Center.

Utilisez la politique intégrée suivante pour autoriser un rôle IAM à visualiser une AWS Glue intégration avec IAM Identity Center.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetGlueIdentityCenterConfiguration"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Utilisez la politique intégrée suivante pour autoriser un rôle IAM à mettre à jour AWS Glue l'intégration avec IAM Identity Center.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:UpdateGlueIdentityCenterConfiguration",
                "sso:PutApplicationAccessScope",
                "sso:DeleteApplicationAccessScope"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Utilisez la politique intégrée suivante pour autoriser un rôle IAM à supprimer une AWS Glue intégration avec IAM Identity Center.

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:DeleteGlueIdentityCenterConfiguration",
                "sso:DeleteApplication"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Description des autorisations

Connexion AWS Glue à IAM Identity Center

Lorsqu'il AWS Glue est connecté à IAM Identity Center, il crée une application iDC gérée par un singleton par compte. L'exemple suivant montre comment vous connecter AWS Glue à IAM Identity Center :

aws glue create-glue-identity-center-configuration \
--instance-arn arn:aws:sso:::instance/ssoins-123456789 \
--scopes '["s3:access_grants:read_write", "redshift:connect","lakeformation:query"]'

Pour mettre à jour les portées de l’application gérée (généralement pour se propager à un plus grand nombre de services en aval), vous pouvez utiliser :

aws glue update-glue-identity-center-configuration \
--scopes '["s3:access_grants:read_write", "redshift:connect","lakeformation:query"]'

Le paramètre Portées est facultatif et toutes les portées seront ajoutées s’il n’est pas fourni. Les valeurs prises en charge sont s3:access_grants:read_write, redshift:connect et lakeformation:query.

Pour obtenir les détails de la configuration, vous pouvez utiliser :

aws glue get-glue-identity-center-configuration

Vous pouvez supprimer la connexion entre AWS Glue IAM Identity Center à l'aide de la commande suivante :

aws glue delete-glue-identity-center-configuration

Création d'une session AWS Glue interactive avec activation de la propagation d'identité sécurisée

Une fois connecté AWS Glue à IAM Identity Center, vous pouvez utiliser les informations d'identification de rôle améliorées pour créer une AWS Glue session interactive. Il n'est pas nécessaire de transmettre des paramètres supplémentaires lors de la création d'une AWS Glue session 5.0. Comme il AWS Glue est connecté au centre d'identité IAM, s'il est AWS Glue détecté identity-enhanced-role-credentials, il propagera automatiquement les informations d'identité aux services en aval appelés dans le cadre de vos déclarations. Cependant, le rôle d’exécution de la session doit disposer de l’autorisation sts:SetContext, comme décrit ci-dessous.

Autorisations du rôle d’exécution pour propager l’identité

Comme les AWS Glue sessions utilisent les informations d'identification améliorées par Identity pour propager l'identité aux AWS services en aval, la politique de confiance associée à son rôle d'exécution doit disposer d'une autorisation supplémentaire pour permettre la propagation de l'identité sts:SetContext vers les services en aval (Amazon S3 access-grant, Lake Formation, Amazon Redshift). Pour en savoir plus sur la création d’un rôle d’exécution, consultez Setting up a runtime role.

JSON

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "glue.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:SetContext"
      ]
    }
  ]
}

De plus, le rôle Runtime aurait besoin d'autorisations pour les AWS services en aval que job-run invoquerait pour récupérer des données en utilisant l'identité de l'utilisateur. Veuillez consulter les liens suivants pour configurer les autorisations d’accès Amazon S3 et Lake Formation :