View a markdown version of this page

Gestion des LF-Tag expressions pour le contrôle d'accès aux métadonnées - AWS Lake Formation
Autorisations IAM requises pour créer des expressions LF-TagAjouter des créateurs LF-Tag d'expressions

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion des LF-Tag expressions pour le contrôle d'accès aux métadonnées

LF-Tag les expressions sont des expressions logiques composées d'une ou de plusieurs LF-Tags (paires clé-valeur) utilisées pour accorder des autorisations sur AWS Glue Data Catalog les ressources. LF-Tag les expressions vous permettent de définir des règles qui régissent l'accès à vos ressources de données en fonction de leurs balises de métadonnées. Vous pouvez enregistrer ces expressions et les réutiliser dans le cadre de plusieurs autorisations accordées, afin de garantir la cohérence et de faciliter la gestion des modifications apportées à l'ontologie des balises au fil du temps.

Dans une LF-Tag expression donnée, les clés de balise sont combinées à l'aide de l'opération AND, tandis que les valeurs sont combinées à l'aide de l'opération OR. Par exemple, l'expression de balise content_type:Sales AND location:US représente les ressources liées aux données de vente aux États-Unis.

Vous pouvez créer jusqu'à 1 000 LF-Tag expressions dans un Compte AWS. Ces expressions constituent un moyen flexible et évolutif de gérer les autorisations en fonction des balises de métadonnées, en garantissant que seuls les utilisateurs ou applications autorisés peuvent accéder à des ressources de données spécifiques en fonction des règles de balises définies.

LF-Tag les expressions présentent les avantages suivants :

  • Réutilisabilité : en définissant et en enregistrant des LF-Tag expressions, vous n'avez plus besoin de répliquer manuellement les mêmes expressions lorsque vous attribuez des autorisations à d'autres ressources ou à d'autres principaux.

  • Cohérence : la réutilisation LF-Tag des expressions associées à plusieurs autorisations garantit la cohérence de la manière dont les autorisations sont accordées et gérées.

  • Gestion de l'ontologie des balises : les LF-Tag expressions permettent de gérer les modifications apportées à l'ontologie des balises au fil du temps, car vous pouvez mettre à jour les expressions enregistrées au lieu de modifier les autorisations accordées individuellement.

Pour plus d'informations sur le contrôle d'accès basé sur des balises, veuillez consulter leContrôle d'accès basé sur des balises Lake Formation.

LF-Tag créateurs d'expression

LF-Tag le créateur d'expressions est un administrateur autorisé à créer et à gérer LF-Tag des expressions. Les administrateurs de data lake peuvent ajouter des créateurs LF-Tag d'expressions à l'aide de la console, de la CLI, de l'API ou du SDK Lake Formation. LF-Tag Les créateurs d'expressions disposent des autorisations implicites de Lake Formation pour créer, mettre à jour et supprimer LF-Tag des expressions, et pour accorder des autorisations d' LF-Tag expression à d'autres principaux.

LF-Tag les créateurs d'expressions qui ne sont pas des administrateurs de data lake reçoivent des Grant with LF-Tag expression autorisations implicites Alter DropDescribe,, et uniquement pour les expressions qu'ils ont créées.

Les administrateurs de data lake peuvent également accorder aux créateurs LF-Tag d'expressions des autorisations susceptibles d'être accordéesCreate LF-Tag expression. Le créateur de l' LF-Tag expression peut ensuite accorder l'autorisation de créer des LF-Tag expressions à d'autres personnes principales.

Rubriques
Consultez aussi

Autorisations IAM requises pour créer des expressions LF-Tag

Vous devez configurer les autorisations pour permettre à un directeur de Lake Formation de créer des LF-Tag expressions. Ajoutez l'instruction suivante à la politique d'autorisation pour le principal qui doit être un créateur LF-Tag d'expression.

Note

Bien que les administrateurs de lacs de données disposent d'autorisations implicites sur Lake Formation pour créer, mettre à jour, supprimer LF-Tags des LF-Tag expressions, attribuer LF-Tags des ressources et accorder LF-Tags et LF-Tag exprimer des autorisations aux principaux, les administrateurs des lacs de données ont également besoin des autorisations IAM suivantes.

Pour de plus amples informations, veuillez consulter Référence des personnalités de Lake Formation et des autorisations IAM.

{
"Sid": "Transformational",
"Effect": "Allow",
    "Action": [
        "lakeformation:AddLFTagsToResource",
        "lakeformation:RemoveLFTagsFromResource",
        "lakeformation:GetResourceLFTags",
        "lakeformation:ListLFTags",
        "lakeformation:CreateLFTag",
        "lakeformation:GetLFTag",
        "lakeformation:UpdateLFTag",
        "lakeformation:DeleteLFTag",
        "lakeformation:SearchTablesByLFTags",
        "lakeformation:SearchDatabasesByLFTags",
        "lakeformation:CreateLFTagExpression",
        "lakeformation:DeleteLFTagExpression",
        "lakeformation:UpdateLFTagExpression",
        "lakeformation:GetLFTagExpression",
        "lakeformation:ListLFTagExpressions",
        "lakeformation:GrantPermissions",
        "lakeformation:RevokePermissions",
        "lakeformation:BatchGrantPermissions",
        "lakeformation:BatchRevokePermissions"
     ]
 }

Ajouter des créateurs LF-Tag d'expressions

LF-Tag les créateurs d'expressions peuvent créer et enregistrer des LF-Tag expressions réutilisables, mettre à jour les clés et les valeurs des balises, supprimer des expressions et accorder des autorisations sur les ressources du catalogue de données aux principaux à l'aide d'une LF-TBAC méthode. Le créateur de LF-Tag l'expression peut également accorder ces autorisations aux principaux.

Vous pouvez créer des rôles de créateur LF-Tag d'expressions à l'aide de la AWS Lake Formation console, de l'API ou du AWS Command Line Interface (AWS CLI).

console
Pour ajouter un créateur LF-Tag d'expression

  1. Ouvrez la console Lake Formation à l'adresse https://console.aws.amazon.com/lakeformation/.

    Connectez-vous en tant qu'administrateur du lac de données.

  2. Dans le volet de navigation, sous Autorisations, sélectionnez LF-Tags et autorisations.

  3. Choisissez l'onglet LF-Tag Expressions.

  4. Dans la section des créateurs LF-Tag d'expressions, choisissez Ajouter des créateurs LF-Tag d'expressions.

    LF-Tag le créateur d'expressions détaille le conteneur affichant Utilisateur IAM datalake_user avec des autorisations.

  5. Sur la page Ajouter des créateurs LF-Tag d'expressions, choisissez un rôle ou un utilisateur IAM disposant des autorisations requises pour créer des LF-Tag expressions.

  6. Cochez Create LF-Tag expression la case d'autorisation.

  7. (Facultatif) Pour permettre aux principaux sélectionnés d'accorder des Create LF-Tag expression autorisations aux principaux, choisissez Autorisation accordable. Create LF-Tag expression

  8. Choisissez Ajouter.

AWS CLI
aws lakeformation grant-permissions --cli-input-json file://grantCreate
{
    "Principal": {
        "DataLakePrincipalIdentifier": "arn:aws:iam::123456789012:user/tag-manager"
    },
    "Resource": {
        "Catalog": {}
    },
    "Permissions": [
        "CreateLFTagExpression"
    ],
    "PermissionsWithGrantOption": [
        "CreateLFTagExpression"
    ]
}

Le rôle de créateur LF-Tag d'expressions permet de créer, de mettre à jour ou de supprimer LF-Tag des expressions.

Autorisations Description
Create Un directeur disposant de cette autorisation peut ajouter des LF-Tag expressions dans le lac de données.
Drop Un principal disposant de cette autorisation sur une LF-Tag expression peut supprimer une LF-Tag expression du lac de données.
Alter Un directeur disposant de cette autorisation sur une LF-Tag expression peut mettre à jour le corps de LF-Tag l'expression.
Describe Le principal disposant de cette autorisation sur une LF-Tag expression peut consulter le contenu de cette LF-Tag expression.
Grant with LF-Tag expression Cette autorisation permet au destinataire d'utiliser l'expression du tag comme ressource lorsqu'il accorde des autorisations d'accès aux données ou aux métadonnées. Accorder Grant with LF-Tag expression implicitement des subventionsDescribe.
Super Pour les LF-Tag expressions, l'Superautorisation donne la possibilité deDescribe, AlterDrop, et d'accorder des autorisations sur l'expression de balise à d'autres principaux.

Ces autorisations peuvent être accordées. Un directeur qui a obtenu ces autorisations avec l'option d'octroi peut les accorder à d'autres principaux.