Amazon Redshift ne prendra plus en charge la création de nouveaux Python UDFs à compter du 1er novembre 2025. Si vous souhaitez utiliser Python UDFs, créez la version UDFs antérieure à cette date. Le Python existant UDFs continuera à fonctionner normalement. Pour plus d’informations, consultez le billet de blog
Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Intégration
Enregistrement du cluster Redshift
Redshift prend en charge la création d'un nouveau cluster ou la restauration d'un cluster à partir d'un instantané avec enregistrement AWS Glue Data Catalog (GDC). Vous pouvez spécifier le nom du catalogue GDC dans le cadre de cet enregistrement. Pour prendre en charge la propagation des identités iDC, vous pouvez spécifier un ARN d'application Redshift iDC de type Lakehouse pour activer la propagation des identités iDC.
Créez un nouveau cluster avec l'enregistrement du catalogue de données Glue
Restaurer un nouveau cluster avec AWS Glue Data Catalog enregistrement
Modifier un cluster existant avec AWS Glue Data Catalog enregistrement
Si votre cluster Redshift est déjà associé à une application Redshift iDC de type autre que lakehouse, les événements suivants se produisent lors de l'enregistrement : AWS Glue Data Catalog
-
Lorsqu'aucun ARN d'application Redshift iDC n'est fourni, l'application Redshift iDC existante dans votre catalogue sera définie sur le statut désactivé.
-
Lorsqu'une application Redshift iDC de type Lakehouse provenant d'une AWS IAM Identity Center instance différente est spécifiée, le fournisseur iDC actuel est désactivé
-
Lorsqu'une application Redshift iDC de type Lakehouse provenant de la même instance est fournie AWS IAM Identity Center
-
L'ARN de l'application Redshift iDC de votre catalogue sera remplacé par l'ARN de l'application Redshift iDC de type Lakehouse. Le catalogue mis à jour peut être vérifié en interrogeant le svv_identity_providers. Pour plus d'informations sur les fournisseurs svv_identity_providers, consultez svv_identity_providers.
-
AWS IAM Identity Centerles utilisateurs fédérés qui avaient auparavant accès au cluster Redshift doivent se voir explicitement accorder des privilèges CONNECT par les administrateurs pour accéder au cluster. Pour plus d'informations sur l'octroi de privilèges CONNECT, consultezPrivilèges Connect.
-
Après votre inscriptionAWS Glue Data Catalog, vos identités AWS IAM Identity Center fédérées existantes et les ressources qui leur appartiennent restent inchangées. Les associations d'espaces de noms pour ces identités fédérées sont également préservées.
-
Enregistrement de l'espace de noms Redshift Serverless
Redshift Serverless permet de s'enregistrer auprès des espaces de noms Serverless attachés à un groupe de travail. AWS Glue Data Catalog Notez que votre base de données redémarrera lors de cette mise à jour.
Si votre espace de noms Redshift Serverless est déjà associé à une application Redshift iDC de type autre que lakehouse, les événements suivants se produisent lors de l'enregistrement du Glue Data Catalog :
-
Lorsqu'aucun ARN d'application Redshift iDC n'est fourni, l'application Redshift iDC existante dans votre catalogue sera définie sur le statut désactivé.
-
Lorsqu'une application Redshift iDC de type Lakehouse provenant d'une AWS IAM Identity Center instance différente est spécifiée, le fournisseur iDC actuel est désactivé
-
Lorsqu'une application Redshift iDC de type Lakehouse provenant de la même instance est fournie AWS IAM Identity Center
-
L'ARN de l'application Redshift iDC de votre catalogue sera remplacé par l'ARN de l'application Redshift iDC de type Lakehouse. Le catalogue mis à jour peut être vérifié en interrogeant le svv_identity_providers. Pour plus d'informations sur les fournisseurs svv_identity_providers, consultez svv_identity_providers.
-
AWS IAM Identity Centerles utilisateurs fédérés qui avaient auparavant accès au cluster Redshift doivent se voir explicitement accorder des privilèges CONNECT par les administrateurs pour accéder au cluster. Pour plus d'informations sur l'octroi de privilèges CONNECT, consultezPrivilèges Connect.
-
Après votre inscriptionAWS Glue Data Catalog, vos identités AWS IAM Identity Center fédérées existantes et les ressources qui leur appartiennent restent inchangées. Les associations d'espaces de noms pour ces identités fédérées sont également préservées.
-
Activer la propagation de AWS IAM Identity Center l'identité
Amazon Redshift prend en charge la propagation des identités par Identity Center (iDC) afin de transmettre de manière fluide les identités des utilisateurs iDC entre les instances Redshift et les services/. AWS Lake Formation AWS Glue
Conditions préalables
-
Vous avez créé une application Amazon Redshift iDC de type Lakehouse. Reportez-vous à la section AWS IAM Identity CenterConfiguration de l'application pour l'entrepôt Redshift avec des autorisations fédérées.
-
Vous avez un cluster Amazon Redshift ou un espace de noms Amazon Redshift Serverless enregistré auprès de. AWS Glue Data Catalog
-
L'espace de noms Redshift Serverless nécessite un groupe de travail attaché pour effectuer les opérations associées.
-
Si votre cluster Redshift ou votre espace de noms Redshift Serverless est déjà associé à une application Redshift iDC d'un type autre que Lakehouse, les événements suivants se produisent lors de l'enregistrement : AWS Glue Data Catalog
-
Lorsqu'aucun ARN d'application Redshift iDC n'est fourni, l'application Redshift iDC existante dans votre catalogue sera définie sur le statut désactivé.
-
Lorsqu'une application Redshift iDC de type Lakehouse provenant d'une AWS IAM Identity Center instance différente est spécifiée, le fournisseur iDC actuel est désactivé
-
Lorsqu'une application Redshift iDC de type Lakehouse provenant de la même instance est fournie AWS IAM Identity Center
-
L'ARN de l'application Redshift iDC de votre catalogue sera remplacé par l'ARN de l'application Redshift iDC de type Lakehouse. Le catalogue mis à jour peut être vérifié en interrogeant le svv_identity_providers. Pour plus d'informations sur les fournisseurs svv_identity_providers, consultez svv_identity_providers.
-
AWS IAM Identity Centerles utilisateurs fédérés qui avaient auparavant accès au cluster Redshift doivent se voir explicitement accorder des privilèges CONNECT par les administrateurs pour accéder au cluster. Pour plus d'informations sur l'octroi de privilèges CONNECT, consultezPrivilèges Connect.
-
Après votre inscriptionAWS Glue Data Catalog, vos identités AWS IAM Identity Center fédérées existantes et les ressources qui leur appartiennent restent inchangées. Les associations d'espaces de noms pour ces identités fédérées sont également préservées.
-
Activer la propagation des AWS IAM Identity Center identités pour les clusters provisionnés par Amazon Redshift
Pour le cluster Amazon Redshift Provisioned qui a enregistré son espace de noms auprès deAWS Glue Data Catalog, il nécessite l'application Lakehouse Amazon Redshift iDC qui n'exige pas AWS IAM Identity Center explicitement l'attribution d'identité à l'application. Les privilèges de connexion des utilisateurs iDC sont gérés par le privilège CONNECT sur l'entrepôt Redshift.
Activer la propagation des AWS IAM Identity Center identités pour les espaces de noms Amazon Redshift Serverless
MODIFIER L'IDENTITÉ GLOBALE DÉFINIE PAR L'UTILISATEUR
Outre l'IAM et les AWS IAM Identity Center informations d'identification, l'utilisateur exécutant des requêtes auprès de Redshift Warehouses avec des autorisations fédérées peut s'authentifier à l'aide d'un rôle IAM. Un superutilisateur peut définir un rôle IAM pour qu'un autre utilisateur non fédéré s'associe automatiquement lors de l'établissement de la session, et ce rôle IAM sera assumé lors des requêtes adressées aux entrepôts Redshift dotés d'autorisations fédérées. Cette fonctionnalité est fournie pour permettre aux utilisateurs d'AWSiDC de s'authentifier de manière non interactive.
Cette fonctionnalité est utile dans les cas d'utilisation suivants :
-
Les clients qui ont des configurations importantes et complexes avec un utilisateur d'entrepôt local existant en plus des utilisateurs ayant une identité globale.
-
Les clients qui utilisent iDC, mais qui souhaitent pouvoir se connecter automatiquement sans action interactive du navigateur pour se connecter.
Exigences et limitations :
-
Seul le super utilisateur peut définir le rôle IAM par
ALTER USER. -
Le rôle IAM doit être attaché au cluster.
-
Le rôle IAM doit disposer des autorisations nécessaires pour accéder aux ressources nécessaires pour exécuter des requêtes sur les entrepôts Redshift avec des autorisations fédérées. Nous vous recommandons d'utiliser une politique
AmazonRedshiftFederatedAuthorizationAWS gérée. -
Les utilisateurs qui s'authentifient via le rôle GLOBAL IDENTITY IAM peuvent interroger des vues dans Redshift Warehouses avec des autorisations fédérées, mais ne peuvent pas les créer, les modifier, les actualiser ou les supprimer.
Syntaxe
La syntaxe suivante décrit la ALTER USER SET GLOBAL IDENTITY commande utilisée pour définir le rôle IAM d'un utilisateur de base de données non fédéré afin qu'il exécute des requêtes sur les entrepôts Redshift avec des autorisations fédérées.
ALTER USERusernameSET GLOBAL IDENTITY IAM_ROLE 'arn:aws:iam::<AWS-account-id>:role/<role-name>'
Désormais, une fois authentifié en tant qu'utilisateur cible (en vous connectant directement en tant qu'usernameutilisateur cible ou en utilisant SET SESSION AUTHORIZATION), vous pouvez vérifier le rôle d'identité global en utilisant
SHOW GLOBAL IDENTITY
Notez que le rôle d'identité global est associé à l'utilisateur lors de l'établissement de la session. Si vous définissez l'identité globale de l'utilisateur actuellement connecté, celui-ci devra se reconnecter pour que l'identité globale prenne effet.
La commande suivante peut être utilisée pour supprimer le rôle IAM associé.
ALTER USERusernameRESET GLOBAL IDENTITY
Parameters
- nom d’utilisateur
-
Nom de l’utilisateur. Il ne peut pas s'agir d'un utilisateur fédéré, comme un utilisateur IAM ou un utilisateur AWS iDC.
- <account-id><role-name>IAM_ROLE 'arn:aws:iam : ::role/ '
-
Utilisez l'Amazon Resource Name (ARN) pour un rôle IAM que votre cluster utilise pour l'authentification et l'autorisation lorsque l'utilisateur
usernameexécute des requêtes sur des entrepôts Redshift avec des autorisations fédérées. Ce rôle doit disposer des autorisations requises pour exécuter la requête. Nous vous recommandons d'utiliserAmazonRedshiftFederatedAuthorizationAWS Managed Policy.
