"
]
}
]
}
```
------
# Gunakan tombol CalledVia konteks untuk Athena
Ketika [kepala sekolah](https://docs.aws.amazon.com/IAM/latest/UserGuide/intro-structure.html#intro-structure-principal) membuat [permintaan](https://docs.aws.amazon.com/IAM/latest/UserGuide/intro-structure.html#intro-structure-request) AWS, AWS mengumpulkan informasi permintaan ke dalam *konteks permintaan* yang mengevaluasi dan mengotorisasi permintaan. Anda dapat menggunakan elemen `Condition` dari kebijakan JSON untuk membandingkan kunci dalam konteks permintaan dengan nilai kunci yang Anda tentukan dalam kebijakan Anda. *Kunci konteks syarat global adalah* berbagai kunci syarat dengan prefiks `aws:`.
## Tentang kunci aws:CalledVia konteks
Anda dapat menggunakan [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-calledvia](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-calledvia) kunci konteks syarat global untuk membandingkan layanan dalam kebijakan dengan layanan yang membuat permintaan atas nama utama IAM (pengguna atau peran). Ketika kepala sekolah membuat permintaan ke Layanan AWS, layanan itu mungkin menggunakan kredensi kepala sekolah untuk membuat permintaan berikutnya ke layanan lain. Kunci `aws:CalledVia` berisi daftar yang dipesan dari setiap layanan dalam rantai yang membuat permintaan atas nama utama.
Dengan menentukan nama utama layanan untuk kunci `aws:CalledVia` konteks, Anda dapat membuat kunci konteks Layanan AWS-spesifik. Misalnya, Anda dapat menggunakan`aws:CalledVia`kondisi kunci untuk membatasi permintaan hanya yang dibuat dari Athena. Untuk menggunakan`aws:CalledVia`kondisi kunci dalam kebijakan dengan Athena, Anda menentukan nama utama layanan Athena`athena.amazonaws.com`, seperti pada contoh berikut.
```
...
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": "athena.amazonaws.com"
}
}
...
```
Anda dapat menggunakan`aws:CalledVia`untuk memastikan pemanggil hanya memiliki akses ke sumber daya (seperti fungsi Lambda) jika mereka memanggil sumber daya dari Athena.
**catatan**
Kunci `aws:CalledVia` konteks tidak kompatibel dengan fitur propagasi identitas tepercaya.
## Tambahkan kunci CalledVia konteks untuk akses ke fungsi Lambda
Athena membutuhkan penelepon untuk memiliki`lambda:InvokeFunction`izin untuk memanggil fungsi Lambda terkait dengan kueri. Pernyataan berikut menentukan bahwa pengguna dapat memanggil fungsi Lambda hanya dari Athena.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor3",
"Effect": "Allow",
"Action": "lambda:InvokeFunction",
"Resource": "arn:aws:lambda:us-east-1:111122223333:function:OneAthenaLambdaFunction",
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": "athena.amazonaws.com"
}
}
}
]
}
```
------
Contoh berikut menunjukkan penambahan pernyataan sebelumnya ke kebijakan yang memungkinkan pengguna menjalankan dan membaca kueri gabungan. Utama yang diizinkan untuk melakukan tindakan ini dapat menjalankan kueri yang menentukan katalog Athena terkait dengan sumber data gabungan. Namun, utama tidak dapat mengakses fungsi Lambda terkait kecuali fungsi dipanggil melalui Athena.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"athena:GetWorkGroup",
"s3:PutObject",
"s3:GetObject",
"athena:StartQueryExecution",
"s3:AbortMultipartUpload",
"athena:StopQueryExecution",
"athena:GetQueryExecution",
"athena:GetQueryResults",
"s3:ListMultipartUploadParts"
],
"Resource": [
"arn:aws:athena:*:111122223333:workgroup/WorkGroupName",
"arn:aws:s3:::MyQueryResultsBucket/*",
"arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillPrefix*"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "athena:ListWorkGroups",
"Resource": "*"
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action":
[
"s3:ListBucket",
"s3:GetBucketLocation"
],
"Resource": "arn:aws:s3:::MyLambdaSpillBucket"
},
{
"Sid": "VisualEditor3",
"Effect": "Allow",
"Action": "lambda:InvokeFunction",
"Resource": [
"arn:aws:lambda:*:111122223333:function:OneAthenaLambdaFunction",
"arn:aws:lambda:*:111122223333:function:AnotherAthenaLambdaFunction"
],
"Condition": {
"ForAnyValue:StringEquals": {
"aws:CalledVia": "athena.amazonaws.com"
}
}
}
]
}
```
------
Untuk informasi selengkapnya tentang kunci syarat `CalledVia`, lihat [AWS kunci konteks syarat global](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) dalam *Panduan Pengguna IAM*.
# Izinkan akses ke Konektor Data Athena untuk Metastore Sarang Eksternal
Contoh kebijakan izin dalam topik ini menunjukkan diperlukan tindakan diperbolehkan dan sumber daya yang mereka diizinkan. Periksa kebijakan ini dengan hati-hati dan memodifikasi mereka sesuai dengan kebutuhan Anda sebelum Anda melampirkan kebijakan izin yang sama untuk identitas IAM.
+ [Example Policy to Allow an IAM Principal to Query Data Using Athena Data Connector for External Hive Metastore](#hive-using-iam)
+ [Example Policy to Allow an IAM Principal to Create an Athena Data Connector for External Hive Metastore](#hive-creating-iam)
**Example — Izinkan prinsipal IAM untuk menanyakan data menggunakan Athena Data Connector untuk External Hive Metastore**
Kebijakan berikut dilampirkan pada utama IAM selain[AWS kebijakan terkelola: AmazonAthenaFullAccess](security-iam-awsmanpol.md#amazonathenafullaccess-managed-policy), yang memberikan akses penuh ke tindakan Athena.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"lambda:GetFunction",
"lambda:GetLayerVersion",
"lambda:InvokeFunction"
],
"Resource": [
"arn:aws:lambda:*:111122223333:function:MyAthenaLambdaFunction",
"arn:aws:lambda:*:111122223333:function:AnotherAthenaLambdaFunction",
"arn:aws:lambda:*:111122223333:layer:MyAthenaLambdaLayer:*"
]
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": [
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:PutObject",
"s3:ListMultipartUploadParts",
"s3:AbortMultipartUpload"
],
"Resource": "arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillLocation"
}
]
}
```
**Penjelasan perizinan**
| Tindakan yang diizinkan | Penjelasan |
| --- | --- |
| "s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:PutObject",
"s3:ListMultipartUploadParts",
"s3:AbortMultipartUpload"
| `s3`tindakan memungkinkan membaca dari dan menulis ke sumber daya yang ditentukan sebagai`"arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillLocation"`, di mana *MyLambdaSpillLocation* mengidentifikasi keranjang tumpahan yang ditentukan dalam konfigurasi fungsi atau fungsi Lambda yang dipanggil. Pengidentifikasi *arn:aws:lambda:\$1:*MyAWSAcctId*:layer:*MyAthenaLambdaLayer*:\$1* sumber daya hanya diperlukan jika Anda menggunakan lapisan Lambda untuk membuat dependensi runtime kustom guna mengurangi ukuran artefak fungsi pada waktu penerapan. Parameter`*`di posisi terakhir adalah wildcard untuk versi layer. |
| "lambda:GetFunction",
"lambda:GetLayerVersion",
"lambda:InvokeFunction"
| Mengizinkan kueri untuk memanggil AWS Lambda fungsi yang ditentukan dalam blok. Resource Misalnyaarn:aws:lambda:\$1:MyAWSAcctId:function:MyAthenaLambdaFunction, di mana MyAthenaLambdaFunction menentukan nama fungsi Lambda yang akan dipanggil. Beberapa fungsi dapat ditentukan seperti yang ditunjukkan pada contoh. |
**Example — Izinkan kepala sekolah IAM untuk membuat Konektor Data Athena untuk Metastore Sarang Eksternal**
Kebijakan berikut dilampirkan pada utama IAM selain[AWS kebijakan terkelola: AmazonAthenaFullAccess](security-iam-awsmanpol.md#amazonathenafullaccess-managed-policy), yang memberikan akses penuh ke tindakan Athena.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"lambda:GetFunction",
"lambda:ListFunctions",
"lambda:GetLayerVersion",
"lambda:InvokeFunction",
"lambda:CreateFunction",
"lambda:DeleteFunction",
"lambda:PublishLayerVersion",
"lambda:DeleteLayerVersion",
"lambda:UpdateFunctionConfiguration",
"lambda:PutFunctionConcurrency",
"lambda:DeleteFunctionConcurrency"
],
"Resource": "arn:aws:lambda:*:111122223333: function: MyAthenaLambdaFunctionsPrefix*"
}
]
}
```
**Penjelasan Izin**
Memungkinkan kueri untuk memanggil AWS Lambda fungsi untuk AWS Lambda fungsi yang ditentukan dalam blok. `Resource` Misalnya`arn:aws:lambda:*:MyAWSAcctId:function:MyAthenaLambdaFunction`, di mana *MyAthenaLambdaFunction* menentukan nama fungsi Lambda yang akan dipanggil. Beberapa fungsi dapat ditentukan seperti yang ditunjukkan pada contoh.
# Izinkan akses fungsi Lambda ke metastores Hive eksternal
Untuk memanggil fungsi Lambda di akun Anda, Anda harus membuat peran yang memiliki izin berikut:
+ `AWSLambdaVPCAccessExecutionRole`— Izin [peran AWS Lambda eksekusi](https://docs.aws.amazon.com/lambda/latest/dg/lambda-intro-execution-role.html) untuk mengelola antarmuka jaringan elastis yang menghubungkan fungsi Anda ke VPC. Pastikan bahwa Anda memiliki cukup jumlah antarmuka jaringan dan alamat IP yang tersedia.
+ `AmazonAthenaFullAccess`— Kebijakan yang [AmazonAthenaFullAccess](security-iam-awsmanpol.md#amazonathenafullaccess-managed-policy)dikelola memberikan akses penuh ke Athena.
+ Sebuah kebijakan Amazon S3 untuk memungkinkan fungsi Lambda untuk menulis ke S3 dan untuk memungkinkan Athena untuk membaca dari S3.
Sebagai contoh, kebijakan berikut mendefinisikan izin untuk lokasi tumpahan`s3:\\mybucket\spill`.
------
#### [ JSON ]
****
```
{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [
"s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:PutObject" ], "Resource": [
"arn:aws:s3:::amzn-s3-demo-bucket/spill" ] } ] }
```
------
Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan di IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dalam *Panduan Pengguna IAM*.
## Buat fungsi Lambda
Untuk membuat fungsi Lambda di akun Anda, izin pengembangan fungsi atau peran `AWSLambdaFullAccess` diperlukan. Untuk informasi selengkapnya, lihat [Kebijakan IAM berbasis identitas](https://docs.aws.amazon.com/lambda/latest/dg/access-control-identity-based.html) untuk. AWS Lambda
[Karena Athena menggunakan AWS Serverless Application Repository untuk membuat fungsi Lambda, superuser atau administrator yang membuat fungsi Lambda juga harus memiliki kebijakan IAM untuk mengizinkan kueri federasi Athena.](federated-query-iam-access.md)
## Konfigurasikan izin untuk pendaftaran katalog dan operasi API metadata
Untuk akses API ke pendaftaran katalog dan operasi metadata, Anda dapat menggunakan kebijakan [AmazonAthenaFullAccess terkelola](security-iam-awsmanpol.md#amazonathenafullaccess-managed-policy). Jika Anda tidak menggunakan `AmazonAthenaFullAccess` kebijakan, tambahkan operasi API berikut ke kebijakan Athena Anda:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"athena:ListDataCatalogs",
"athena:GetDataCatalog",
"athena:CreateDataCatalog",
"athena:UpdateDataCatalog",
"athena:DeleteDataCatalog",
"athena:GetDatabase",
"athena:ListDatabases",
"athena:GetTableMetadata",
"athena:ListTableMetadata"
],
"Resource": [
"*"
]
}
]
}
```
------
## Panggil fungsi Lambda di seluruh wilayah
Secara default, Athena memanggil fungsi Lambda didefinisikan di wilayah yang sama. Untuk memanggil fungsi Lambda di Wilayah AWS selain wilayah tempat Anda menjalankan kueri Athena, gunakan ARN lengkap dari fungsi Lambda.
Contoh berikut menunjukkan bagaimana katalog di Wilayah Eropa (Frankfurt) dapat menentukan fungsi Lambda di Wilayah Timur AS (Virginia N.) untuk mengambil data dari metastore Hive di Wilayah Eropa (Frankfurt).
```
arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new
```
Jika Anda menentukan ARN penuh dengan cara ini, Athena dapat memanggil`external-hms-service-new`Fungsi Lambda`us-east-1`untuk mengambil data metastore Hive dari`eu-central-1`.
**catatan**
Katalog harus terdaftar sama dengan Wilayah AWS yang Anda gunakan untuk menjalankan kueri Athena.
## Panggil fungsi Lambda di seluruh akun
Kadang-kadang Anda mungkin memerlukan akses ke metastore Hive dari akun yang berbeda. Misalnya, untuk menjalankan metastore Hive, Anda dapat menggunakan akun yang berbeda dari akun yang Anda gunakan untuk kueri Athena. grup yang berbeda atau tim mungkin menjalankan Hive metastore dengan akun yang berbeda dalam VPC mereka. Atau Anda mungkin ingin mengakses metadata dari metastores Hive berbeda dari grup atau tim yang berbeda.
Athena menggunakan[AWS Lambda dukungan untuk akses lintas akun](https://aws.amazon.com/blogs/compute/easy-authorization-of-aws-lambda-functions/)untuk mengaktifkan akses lintas rekening untuk Hive Metastores.
**catatan**
Perhatikan bahwa akses lintas rekening untuk Athena biasanya menyiratkan akses rekening lintas untuk kedua metadata dan data di Amazon S3.
Bayangkan skenario berikut:
+ Akun`111122223333`mengatur fungsi Lambda`external-hms-service-new`pada kita-timur-1 di Athena untuk mengakses Hive Metastore berjalan pada cluster EMR.
+ Akun`111122223333`ingin memungkinkan akun 444455556666 untuk mengakses data Hive Metastore.
Untuk memberikan `444455556666` akses akun ke fungsi Lambda`external-hms-service-new`, akun `111122223333` menggunakan perintah berikut AWS CLI `add-permission`. Perintah telah diformat untuk dibaca.
```
$ aws --profile perf-test lambda add-permission
--function-name external-hms-service-new
--region us-east-1
--statement-id Id-ehms-invocation2
--action "lambda:InvokeFunction"
--principal arn:aws:iam::444455556666:user/perf1-test
{
"Statement": "{\"Sid\":\"Id-ehms-invocation2\",
\"Effect\":\"Allow\",
\"Principal\":{\"AWS\":\"arn:aws:iam::444455556666:user/perf1-test\"},
\"Action\":\"lambda:InvokeFunction\",
\"Resource\":\"arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new\"}"
}
```
Untuk memeriksa izin Lambda, gunakan`get-policy`seperti pada contoh berikut. Perintah telah diformat untuk dibaca.
```
$ aws --profile perf-test lambda get-policy
--function-name arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new
--region us-east-1
{
"RevisionId": "711e93ea-9851-44c8-a09f-5f2a2829d40f",
"Policy": "{\"Version\":\"2012-10-17\",
\"Id\":\"default\",
\"Statement\":[{\"Sid\":\"Id-ehms-invocation2\",
\"Effect\":\"Allow\",
\"Principal\":{\"AWS\":\"arn:aws:iam::444455556666:user/perf1-test\"},
\"Action\":\"lambda:InvokeFunction\",
\"Resource\":\"arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new\"}]}"
}
```
Setelah menambahkan izin, Anda dapat menggunakan ARN lengkap dari fungsi Lambda`us-east-1`seperti berikut saat anda menentukan katalog`ehms`:
```
arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new
```
Untuk informasi tentang doa lintas wilayah, lihat[Panggil fungsi Lambda di seluruh wilayah](#hive-metastore-iam-access-lambda-cross-region-invocation)sebelumnya dalam topik ini.
### Berikan akses lintas akun ke data
Sebelum Anda dapat menjalankan kueri Athena, Anda harus memberikan akses lintas rekening ke data di Amazon S3. Anda dapat melakukannya dengan salah satu cara berikut:
+ Memperbarui kebijakan daftar kontrol akses bucket Amazon S3 dengan[ID pengguna kanonis](https://docs.aws.amazon.com/general/latest/gr/acct-identifiers.html).
+ Menambahkan akses akun lintas ke kebijakan bucket Amazon S3.
Sebagai contoh, tambahkan kebijakan berikut untuk Amazon S3 bucket kebijakan di akun`111122223333`untuk mengizinkan akun`444455556666`Untuk membaca data dari lokasi Amazon S3 yang ditentukan.
------
#### [ JSON ]
****
```
{ "Version":"2012-10-17", "Statement": [ { "Sid": "Stmt1234567890123", "Effect":
"Allow", "Principal": { "AWS":
"arn:aws:iam::444455556666:user/perf1-test"
}, "Action": "s3:GetObject", "Resource": "arn:aws:s3:::athena-test/lambda/dataset/*" } ]
}
```
------
**catatan**
Anda mungkin perlu untuk memberikan akses rekening lintas ke Amazon S3 tidak hanya untuk data Anda, tetapi juga untuk Amazon S3 lokasi tumpahan Anda. Fungsi Lambda Anda tumpahan data tambahan ke lokasi tumpahan saat ukuran objek respon melebihi ambang batas yang diberikan. Lihat awal topik ini untuk kebijakan sampel.
Dalam contoh saat ini, setelah akses lintas rekening diberikan kepada`444455556666,` `444455556666`dapat menggunakan katalog`ehms`sendiri`account`untuk kueri tabel yang didefinisikan dalam akun`111122223333`.
Pada contoh berikut, profil SQL Workbench`perf-test-1`Untuk akun`444455556666`. kueri menggunakan katalog`ehms`untuk mengakses metastore Hive dan data Amazon S3 pada akun`111122223333`.
![\[Mengakses data Hive metastore dan Amazon S3 di seluruh akun di SQL Workbench.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/hive-metastore-iam-access-lambda-1.png)
# Izin diperlukan untuk membuat konektor dan katalog Athena
Untuk memanggil `CreateDataCatalog` Athena, Anda harus membuat peran yang memiliki izin berikut:
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "ECR",
"Effect": "Allow",
"Action": [
"ecr:BatchGetImage",
"ecr:GetDownloadUrlForLayer"
],
"Resource": "arn:aws:ecr:*:*:repository/*"
},
{
"Effect": "Allow",
"Action": [
"s3:GetObject",
"glue:TagResource",
"glue:GetConnection",
"glue:CreateConnection",
"glue:DeleteConnection",
"glue:UpdateConnection",
"serverlessrepo:CreateCloudFormationTemplate",
"serverlessrepo:GetCloudFormationTemplate",
"cloudformation:CreateStack",
"cloudformation:DeleteStack",
"cloudformation:DescribeStacks",
"cloudformation:CreateChangeSet",
"cloudformation:DescribeAccountLimits",
"cloudformation:CreateStackSet",
"cloudformation:ValidateTemplate",
"cloudformation:CreateUploadBucket",
"cloudformation:DescribeStackDriftDetectionStatus",
"cloudformation:ListExports",
"cloudformation:ListStacks",
"cloudformation:EstimateTemplateCost",
"cloudformation:ListImports",
"lambda:InvokeFunction",
"lambda:GetFunction",
"lambda:DeleteFunction",
"lambda:CreateFunction",
"lambda:TagResource",
"lambda:ListFunctions",
"lambda:GetAccountSettings",
"lambda:ListEventSourceMappings",
"lambda:ListVersionsByFunction",
"lambda:GetFunctionConfiguration",
"lambda:PutFunctionConcurrency",
"lambda:UpdateFunctionConfiguration",
"lambda:UpdateFunctionCode",
"lambda:DeleteFunctionConcurrency",
"lambda:RemovePermission",
"lambda:AddPermission",
"lambda:ListTags",
"lambda:GetAlias",
"lambda:GetPolicy",
"lambda:ListAliases",
"ec2:DescribeSecurityGroups",
"ec2:DescribeSubnets",
"ec2:DescribeVpcs",
"secretsmanager:ListSecrets",
"glue:GetCatalogs"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": [
"iam:AttachRolePolicy",
"iam:DetachRolePolicy",
"iam:DeleteRolePolicy",
"iam:PutRolePolicy",
"iam:GetRolePolicy",
"iam:CreateRole",
"iam:TagRole",
"iam:DeleteRole",
"iam:GetRole",
"iam:PassRole",
"iam:ListRoles",
"iam:ListAttachedRolePolicies",
"iam:ListRolePolicies",
"iam:GetPolicy",
"iam:UpdateRole"
],
"Resource": [
"arn:aws:iam::*:role/RoleName",
"arn:aws:iam::111122223333:policy/*"
]
}
]
}
```
------
# Izinkan akses ke Kueri Federasi Athena: Contoh kebijakan
Contoh kebijakan izin dalam topik ini menunjukkan diperlukan tindakan diperbolehkan dan sumber daya yang mereka diizinkan. Periksa kebijakan ini dengan saksama dan mengubahnya sesuai dengan kebutuhan Anda sebelum melampirkannya ke identitas IAM.
[Untuk informasi tentang melampirkan kebijakan ke identitas IAM, lihat [Menambahkan dan menghapus izin identitas IAM di Panduan Pengguna IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_manage-attach-detach.html).](https://docs.aws.amazon.com/IAM/latest/UserGuide/)
+ [Example policy to allow an IAM principal to run and return results using Athena Federated Query](#fed-using-iam)
+ [Example Policy to Allow an IAM Principal to Create a Data Source Connector](#fed-creating-iam)
**Example — Izinkan prinsipal IAM untuk menjalankan dan mengembalikan hasil menggunakan Athena Federated Query**
Kebijakan izin berbasis identitas berikut memungkinkan tindakan yang diperlukan pengguna atau pimpinan IAM lainnya untuk menggunakan Kueri Gabungan Athena. Utama yang diizinkan untuk melakukan tindakan ini dapat menjalankan kueri yang menentukan katalog Athena yang terkait dengan sumber data gabungan.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "Athena",
"Effect": "Allow",
"Action": [
"athena:GetDataCatalog",
"athena:GetQueryExecution",
"athena:GetQueryResults",
"athena:GetWorkGroup",
"athena:StartQueryExecution",
"athena:StopQueryExecution"
],
"Resource": [
"arn:aws:athena:*:111122223333:workgroup/WorkgroupName",
"arn:aws:athena:us-east-1:111122223333:datacatalog/DataCatalogName"
]
},
{
"Sid": "ListAthenaWorkGroups",
"Effect": "Allow",
"Action": "athena:ListWorkGroups",
"Resource": "*"
},
{
"Sid": "Lambda",
"Effect": "Allow",
"Action": "lambda:InvokeFunction",
"Resource": [
"arn:aws:lambda:*:111122223333:function:OneAthenaLambdaFunction",
"arn:aws:lambda:*:111122223333:function:AnotherAthenaLambdaFunction"
]
},
{
"Sid": "S3",
"Effect": "Allow",
"Action": [
"s3:AbortMultipartUpload",
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:ListMultipartUploadParts",
"s3:PutObject"
],
"Resource": [
"arn:aws:s3:::MyLambdaSpillBucket",
"arn:aws:s3:::MyLambdaSpillBucket/*",
"arn:aws:s3:::MyQueryResultsBucket",
"arn:aws:s3:::MyQueryResultsBucket/*"
]
}
]
}
```
**Penjelasan perizinan**
| Tindakan yang diizinkan | Penjelasan |
| --- | --- |
| "athena:GetQueryExecution",
"athena:GetQueryResults",
"athena:GetWorkGroup",
"athena:StartQueryExecution",
"athena:StopQueryExecution"
| Athena izin yang diperlukan untuk menjalankan kueri gabungan. |
| "athena:GetDataCatalog",
"athena:GetQueryExecution,"
"athena:GetQueryResults",
"athena:GetWorkGroup",
"athena:StartQueryExecution",
"athena:StopQueryExecution"
| Izin Athena yang diperlukan untuk menjalankan kueri tampilan federasi. `GetDataCatalog`Tindakan ini diperlukan untuk tampilan. |
| "lambda:InvokeFunction"
| Memungkinkan kueri untuk memanggil AWS Lambda fungsi untuk AWS Lambda fungsi yang ditentukan dalam blok. Resource Misalnyaarn:aws:lambda:\$1:MyAWSAcctId:function:MyAthenaLambdaFunction, di mana MyAthenaLambdaFunction menentukan nama fungsi Lambda yang akan dipanggil. Seperti yang ditunjukkan pada contoh, beberapa fungsi dapat ditentukan. |
| "s3:AbortMultipartUpload",
"s3:GetBucketLocation",
"s3:GetObject",
"s3:ListBucket",
"s3:ListMultipartUploadParts",
"s3:PutObject"
| `s3:GetBucketLocation`Izin `s3:ListBucket` dan diperlukan untuk mengakses bucket keluaran kueri untuk prinsipal IAM yang berjalan. `StartQueryExecution` `s3:PutObject`,`s3:ListMultipartUploadParts`, dan `s3:AbortMultipartUpload` izinkan penulisan hasil kueri ke semua sub-folder bucket hasil kueri seperti yang ditentukan oleh pengidentifikasi `arn:aws:s3:::MyQueryResultsBucket/*` sumber daya, di mana *MyQueryResultsBucket* keranjang hasil kueri Athena. Untuk informasi selengkapnya, lihat [Bekerja dengan hasil kueri dan kueri terbaru](querying.md). `s3:GetObject`memungkinkan pembacaan hasil kueri dan riwayat kueri untuk sumber daya yang ditentukan sebagai`arn:aws:s3:::MyQueryResultsBucket`, di mana *MyQueryResultsBucket* keranjang hasil kueri Athena. `s3:GetObject`juga memungkinkan membaca dari sumber daya yang ditentukan sebagai`"arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillPrefix*"`, di mana *MyLambdaSpillPrefix* ditentukan dalam konfigurasi fungsi Lambda atau fungsi yang dipanggil. |
**Example — Izinkan prinsipal IAM untuk membuat konektor sumber data**
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"lambda:CreateFunction",
"lambda:ListVersionsByFunction",
"iam:CreateRole",
"lambda:GetFunctionConfiguration",
"iam:AttachRolePolicy",
"iam:PutRolePolicy",
"lambda:PutFunctionConcurrency",
"iam:PassRole",
"iam:DetachRolePolicy",
"lambda:ListTags",
"iam:ListAttachedRolePolicies",
"iam:DeleteRolePolicy",
"lambda:DeleteFunction",
"lambda:GetAlias",
"iam:ListRolePolicies",
"iam:GetRole",
"iam:GetPolicy",
"lambda:InvokeFunction",
"lambda:GetFunction",
"lambda:ListAliases",
"lambda:UpdateFunctionConfiguration",
"iam:DeleteRole",
"lambda:UpdateFunctionCode",
"s3:GetObject",
"lambda:AddPermission",
"iam:UpdateRole",
"lambda:DeleteFunctionConcurrency",
"lambda:RemovePermission",
"iam:GetRolePolicy",
"lambda:GetPolicy"
],
"Resource": [
"arn:aws:lambda:*:111122223333:function:MyAthenaLambdaFunctionsPrefix*",
"arn:aws:s3:::awsserverlessrepo-changesets-1iiv3xa62ln3m/*",
"arn:aws:iam::*:role/RoleName",
"arn:aws:iam::111122223333:policy/*"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"cloudformation:CreateUploadBucket",
"cloudformation:DescribeStackDriftDetectionStatus",
"cloudformation:ListExports",
"cloudformation:ListStacks",
"cloudformation:ListImports",
"lambda:ListFunctions",
"iam:ListRoles",
"lambda:GetAccountSettings",
"ec2:DescribeSecurityGroups",
"cloudformation:EstimateTemplateCost",
"ec2:DescribeVpcs",
"lambda:ListEventSourceMappings",
"cloudformation:DescribeAccountLimits",
"ec2:DescribeSubnets",
"cloudformation:CreateStackSet",
"cloudformation:ValidateTemplate"
],
"Resource": "*"
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": "cloudformation:*",
"Resource": [
"arn:aws:cloudformation:*:111122223333:stack/aws-serverless-repository-MyCFStackPrefix*/*",
"arn:aws:cloudformation:*:111122223333:stack/serverlessrepo-MyCFStackPrefix*/*",
"arn:aws:cloudformation:*:*:transform/Serverless-*",
"arn:aws:cloudformation:*:111122223333:stackset/aws-serverless-repository-MyCFStackPrefix*:*",
"arn:aws:cloudformation:*:111122223333:stackset/serverlessrepo-MyCFStackPrefix*:*"
]
},
{
"Sid": "VisualEditor3",
"Effect": "Allow",
"Action": "serverlessrepo:*",
"Resource": "arn:aws:serverlessrepo:*:*:applications/*"
},
{
"Sid": "ECR",
"Effect": "Allow",
"Action": [
"ecr:BatchGetImage",
"ecr:GetDownloadUrlForLayer"
],
"Resource": "arn:aws:ecr:*:*:repository/*"
}
]
}
```
**Penjelasan perizinan**
| Tindakan yang diizinkan | Penjelasan |
| --- | --- |
| "lambda:CreateFunction",
"lambda:ListVersionsByFunction",
"lambda:GetFunctionConfiguration",
"lambda:PutFunctionConcurrency",
"lambda:ListTags",
"lambda:DeleteFunction",
"lambda:GetAlias",
"lambda:InvokeFunction",
"lambda:GetFunction",
"lambda:ListAliases",
"lambda:UpdateFunctionConfiguration",
"lambda:UpdateFunctionCode",
"lambda:AddPermission",
"lambda:DeleteFunctionConcurrency",
"lambda:RemovePermission",
"lambda:GetPolicy"
"lambda:GetAccountSettings",
"lambda:ListFunctions",
"lambda:ListEventSourceMappings",
| Memungkinkan penciptaan dan pengelolaan fungsi Lambda terdaftar sebagai sumber daya. Dalam contoh, awalan nama digunakan dalam pengenal sumber daya`arn:aws:lambda:*:MyAWSAcctId:function:MyAthenaLambdaFunctionsPrefix*`, di mana `MyAthenaLambdaFunctionsPrefix` awalan bersama digunakan dalam nama grup fungsi Lambda sehingga tidak perlu ditentukan secara individual sebagai sumber daya. Anda dapat menentukan satu atau lebih sumber daya fungsi Lambda. |
| "s3:GetObject"
| Memungkinkan membaca bucket yang AWS Serverless Application Repository membutuhkan seperti yang ditentukan oleh pengenal arn:aws:s3:::awsserverlessrepo-changesets-1iiv3xa62ln3m/\$1 sumber daya. Bucket ini mungkin spesifik untuk akun Anda. |
| "cloudformation:*"
| Memungkinkan pembuatan dan pengelolaan CloudFormation tumpukan yang ditentukan oleh sumber `MyCFStackPrefix` daya. Tumpukan dan stackset ini adalah cara AWS Serverless Application Repository menyebarkan konektor dan. UDFs |
| "serverlessrepo:*"
| Memungkinkan pencarian, melihat, menerbitkan, dan memperbarui aplikasi di AWS Serverless Application Repository, yang ditentukan oleh pengenal arn:aws:serverlessrepo:\$1:\$1:applications/\$1 sumber daya. |
| "ecr:BatchGetImage",
"ecr:GetDownloadUrlForLayer"
| Memungkinkan fungsi Lambda yang dibuat untuk mengakses gambar ECR konektor federasi. |
# Izinkan akses ke Athena UDFs: Contoh kebijakan
Contoh kebijakan izin dalam topik ini menunjukkan diperlukan tindakan diperbolehkan dan sumber daya yang mereka diizinkan. Periksa kebijakan ini dengan hati-hati dan memodifikasi mereka sesuai dengan kebutuhan Anda sebelum Anda melampirkan kebijakan izin yang sama untuk identitas IAM.
+ [Example Policy to Allow an IAM Principal to Run and Return Queries that Contain an Athena UDF Statement](#udf-using-iam)
+ [Example Policy to Allow an IAM Principal to Create an Athena UDF](#udf-creating-iam)
**Example — Izinkan prinsipal IAM untuk menjalankan dan mengembalikan kueri yang berisi pernyataan Athena UDF**
Kebijakan izin berbasis identitas berikut memungkinkan tindakan yang pengguna atau utama IAM lainnya memerlukan untuk menjalankan permintaan yang menggunakan pernyataan Athena UDF.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"athena:StartQueryExecution",
"lambda:InvokeFunction",
"athena:GetQueryResults",
"s3:ListMultipartUploadParts",
"athena:GetWorkGroup",
"s3:PutObject",
"s3:GetObject",
"s3:AbortMultipartUpload",
"athena:StopQueryExecution",
"athena:GetQueryExecution",
"s3:GetBucketLocation"
],
"Resource": [
"arn:aws:athena:*:MyAWSAcctId:workgroup/MyAthenaWorkGroup",
"arn:aws:s3:::MyQueryResultsBucket/*",
"arn:aws:lambda:*:MyAWSAcctId:function:OneAthenaLambdaFunction",
"arn:aws:lambda:*:MyAWSAcctId:function:AnotherAthenaLambdaFunction"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "athena:ListWorkGroups",
"Resource": "*"
}
]
}
```
**Penjelasan perizinan**
| Tindakan yang diizinkan | Penjelasan |
| --- | --- |
| "athena:StartQueryExecution",
"athena:GetQueryResults",
"athena:GetWorkGroup",
"athena:StopQueryExecution",
"athena:GetQueryExecution",
| Athena izin yang diperlukan untuk menjalankan kueri di`MyAthenaWorkGroup`kelompok kerja. |
| "s3:PutObject",
"s3:GetObject",
"s3:AbortMultipartUpload"
| `s3:PutObject`dan `s3:AbortMultipartUpload` izinkan penulisan hasil kueri ke semua sub-folder bucket hasil kueri seperti yang ditentukan oleh pengidentifikasi `arn:aws:s3:::MyQueryResultsBucket/*` sumber daya, di mana *MyQueryResultsBucket* keranjang hasil kueri Athena. Untuk informasi selengkapnya, lihat [Bekerja dengan hasil kueri dan kueri terbaru](querying.md). `s3:GetObject`memungkinkan pembacaan hasil kueri dan riwayat kueri untuk sumber daya yang ditentukan sebagai`arn:aws:s3:::MyQueryResultsBucket`, di mana *MyQueryResultsBucket* keranjang hasil kueri Athena. Untuk informasi selengkapnya, lihat [Bekerja dengan hasil kueri dan kueri terbaru](querying.md). `s3:GetObject`juga memungkinkan membaca dari sumber daya yang ditentukan sebagai`"arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillPrefix*"`, di mana *MyLambdaSpillPrefix* ditentukan dalam konfigurasi fungsi Lambda atau fungsi yang dipanggil. |
| "lambda:InvokeFunction"
| Mengizinkan kueri untuk memanggil AWS Lambda fungsi yang ditentukan dalam blok. Resource Misalnyaarn:aws:lambda:\$1:MyAWSAcctId:function:MyAthenaLambdaFunction, di mana MyAthenaLambdaFunction menentukan nama fungsi Lambda yang akan dipanggil. Beberapa fungsi dapat ditentukan seperti yang ditunjukkan pada contoh. |
**Example — Izinkan kepala IAM untuk membuat UDF Athena**
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"lambda:CreateFunction",
"lambda:ListVersionsByFunction",
"iam:CreateRole",
"lambda:GetFunctionConfiguration",
"iam:AttachRolePolicy",
"iam:PutRolePolicy",
"lambda:PutFunctionConcurrency",
"iam:PassRole",
"iam:DetachRolePolicy",
"lambda:ListTags",
"iam:ListAttachedRolePolicies",
"iam:DeleteRolePolicy",
"lambda:DeleteFunction",
"lambda:GetAlias",
"iam:ListRolePolicies",
"iam:GetRole",
"iam:GetPolicy",
"lambda:InvokeFunction",
"lambda:GetFunction",
"lambda:ListAliases",
"lambda:UpdateFunctionConfiguration",
"iam:DeleteRole",
"lambda:UpdateFunctionCode",
"s3:GetObject",
"lambda:AddPermission",
"iam:UpdateRole",
"lambda:DeleteFunctionConcurrency",
"lambda:RemovePermission",
"iam:GetRolePolicy",
"lambda:GetPolicy"
],
"Resource": [
"arn:aws:lambda:*:111122223333:function:MyAthenaLambdaFunctionsPrefix*",
"arn:aws:s3:::awsserverlessrepo-changesets-1iiv3xa62ln3m/*",
"arn:aws:iam::*:role/RoleName",
"arn:aws:iam::111122223333:policy/*"
]
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": [
"cloudformation:CreateUploadBucket",
"cloudformation:DescribeStackDriftDetectionStatus",
"cloudformation:ListExports",
"cloudformation:ListStacks",
"cloudformation:ListImports",
"lambda:ListFunctions",
"iam:ListRoles",
"lambda:GetAccountSettings",
"ec2:DescribeSecurityGroups",
"cloudformation:EstimateTemplateCost",
"ec2:DescribeVpcs",
"lambda:ListEventSourceMappings",
"cloudformation:DescribeAccountLimits",
"ec2:DescribeSubnets",
"cloudformation:CreateStackSet",
"cloudformation:ValidateTemplate"
],
"Resource": "*"
},
{
"Sid": "VisualEditor2",
"Effect": "Allow",
"Action": "cloudformation:*",
"Resource": [
"arn:aws:cloudformation:*:111122223333:stack/aws-serverless-repository-MyCFStackPrefix*/*",
"arn:aws:cloudformation:*:111122223333:stack/serverlessrepo-MyCFStackPrefix*/*",
"arn:aws:cloudformation:*:*:transform/Serverless-*",
"arn:aws:cloudformation:*:111122223333:stackset/aws-serverless-repository-MyCFStackPrefix*:*",
"arn:aws:cloudformation:*:111122223333:stackset/serverlessrepo-MyCFStackPrefix*:*"
]
},
{
"Sid": "VisualEditor3",
"Effect": "Allow",
"Action": "serverlessrepo:*",
"Resource": "arn:aws:serverlessrepo:*:*:applications/*"
},
{
"Sid": "ECR",
"Effect": "Allow",
"Action": [
"ecr:BatchGetImage",
"ecr:GetDownloadUrlForLayer"
],
"Resource": "arn:aws:ecr:*:*:repository/*"
}
]
}
```
**Penjelasan perizinan**
| Tindakan yang diizinkan | Penjelasan |
| --- | --- |
| "lambda:CreateFunction",
"lambda:ListVersionsByFunction",
"lambda:GetFunctionConfiguration",
"lambda:PutFunctionConcurrency",
"lambda:ListTags",
"lambda:DeleteFunction",
"lambda:GetAlias",
"lambda:InvokeFunction",
"lambda:GetFunction",
"lambda:ListAliases",
"lambda:UpdateFunctionConfiguration",
"lambda:UpdateFunctionCode",
"lambda:AddPermission",
"lambda:DeleteFunctionConcurrency",
"lambda:RemovePermission",
"lambda:GetPolicy"
"lambda:GetAccountSettings",
"lambda:ListFunctions",
"lambda:ListEventSourceMappings",
| Memungkinkan penciptaan dan pengelolaan fungsi Lambda terdaftar sebagai sumber daya. Dalam contoh, awalan nama digunakan dalam pengenal sumber daya`arn:aws:lambda:*:MyAWSAcctId:function:MyAthenaLambdaFunctionsPrefix*`, di mana *MyAthenaLambdaFunctionsPrefix* awalan bersama digunakan dalam nama grup fungsi Lambda sehingga tidak perlu ditentukan secara individual sebagai sumber daya. Anda dapat menentukan satu atau lebih sumber daya fungsi Lambda. |
| "s3:GetObject"
| Memungkinkan membaca bucket yang AWS Serverless Application Repository membutuhkan seperti yang ditentukan oleh pengidentifikasi arn:aws:s3:::awsserverlessrepo-changesets-1iiv3xa62ln3m/\$1 sumber daya. |
| "cloudformation:*"
| Memungkinkan pembuatan dan pengelolaan CloudFormation tumpukan yang ditentukan oleh sumber *MyCFStackPrefix* daya. Tumpukan dan stackset ini adalah cara AWS Serverless Application Repository menyebarkan konektor dan. UDFs |
| "serverlessrepo:*"
| Memungkinkan pencarian, melihat, menerbitkan, dan memperbarui aplikasi di AWS Serverless Application Repository, yang ditentukan oleh pengidentifikasi arn:aws:serverlessrepo:\$1:\$1:applications/\$1 sumber daya. |
# Izinkan akses untuk ML dengan Athena
IAM utama yang menjalankan kueri ML Athena harus diizinkan menjalankan tindakan `sagemaker:invokeEndpoint` untuk titik akhir Sagemaker yang mereka gunakan. Sertakan pernyataan kebijakan yang mirip dengan berikut dalam kebijakan izin berbasis identitas yang melekat pada identitas pengguna. Selain itu, lampirkan[AWS kebijakan terkelola: AmazonAthenaFullAccess](security-iam-awsmanpol.md#amazonathenafullaccess-managed-policy), yang memberikan akses penuh ke tindakan Athena, atau kebijakan inline yang dimodifikasi yang memungkinkan subset tindakan.
Ganti `arn:aws:sagemaker:region:AWSAcctID:ModelEndpoint` dalam contoh dengan ARN atau titik akhir model ARNs yang akan digunakan dalam kueri. Untuk informasi selengkapnya, lihat [Kunci tindakan, sumber daya, dan kondisi untuk SageMaker AI](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonsagemaker.html) di *Referensi Otorisasi Layanan*.
```
{
"Effect": "Allow",
"Action": [
"sagemaker:invokeEndpoint"
],
"Resource": "arn:aws:sagemaker:us-west-2:123456789012:workteam/public-crowd/default"
}
```
Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan di IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dalam *Panduan Pengguna IAM*.
# Aktifkan akses federasi ke Athena API
Bagian ini membahas akses gabungan yang memungkinkan pengguna atau aplikasi klien di organisasi Anda untuk menghubungi operasi API Amazon Athena. Dalam hal ini, pengguna organisasi Anda tidak memiliki akses langsung ke Athena. Sebagai gantinya, Anda mengelola kredensi pengguna di luar AWS Microsoft Active Directory. Dukungan Active Directory[SAML 2.0](https://wiki.oasis-open.org/security)(Keamanan Penegasan Markup Language 2.0).
Untuk mengotentikasi pengguna dalam skenario ini, gunakan driver JDBC atau ODBC dengan SAML.2.0 dukungan untuk mengakses Active Directory Federation Services (ADFS) 3.0 dan mengaktifkan aplikasi klien untuk memanggil Athena API operasi.
Untuk informasi selengkapnya tentang dukungan SAMP 2.0 AWS, lihat [Tentang federasi SAMP 2.0](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html) di Panduan Pengguna *IAM*.
**catatan**
Akses gabungan ke API Athena didukung untuk jenis tertentu penyedia identitas (IdP), Active Directory Federation Service (ADFS 3.0), yang merupakan bagian dari Windows Server. Akses federasi tidak kompatibel dengan fitur propagasi identitas terpercaya IAM Identity Center. Akses dibuat melalui versi driver JDBC atau ODBC yang mendukung SAML 2.0. Untuk informasi selengkapnya, lihat [Connect ke Amazon Athena dengan JDBC](connect-with-jdbc.md) dan [Connect ke Amazon Athena dengan ODBC](connect-with-odbc.md).
**Topics**
+ [Sebelum Anda mulai](#access-federation-before-you-begin)
+ [Memahami proses otentikasi](#access-federation-diagram)
+ [Prosedur: Aktifkan akses federasi berbasis SAMP ke Athena API](#access-federation-procedure)
## Sebelum Anda mulai
Sebelum menggunakan fungsi , pastikan untuk melengkapi prasyarat berikut:
+ Di dalam organisasi Anda, instal dan konfigurasikan ADFS 3.0 sebagai IdP Anda.
+ Menginstal dan mengonfigurasi versi terbaru yang tersedia dari driver JDBC atau ODBC pada klien yang digunakan untuk mengakses Athena. Driver harus menyertakan dukungan untuk akses gabungan kompatibel dengan SAML 2.0. Untuk informasi selengkapnya, lihat [Connect ke Amazon Athena dengan JDBC](connect-with-jdbc.md) dan [Connect ke Amazon Athena dengan ODBC](connect-with-odbc.md).
## Memahami proses otentikasi
Diagram berikut menggambarkan proses otentikasi akses federasi ke Athena API.
![\[Diagram akses federasi ke Athena API.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/athena-saml-based-federation.png)
1. Pengguna dalam organisasi Anda menggunakan aplikasi klien untuk meminta autentikasi dari organisasi Anda. IdP adalah ADFS 3.0.
1. mengautentikasi pengguna terhadap toko identitas organisasi Anda.
1. menyusun pernyataan SAML dengan informasi tentang pengguna dan mengirimkan pertanyaan ke aplikasi klien.
1. Driver JDBC atau ODBC memanggil operasi AWS Security Token Service [AssumeRoleWithSAMP](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithSAML.html) API, meneruskannya parameter berikut:
+ ARN penyedia SAML
+ ARN peran untuk mengasumsikan
+ Pernyataan SAML dari IdP
Untuk informasi selengkapnya, lihat [AssumeRoleWithSAMP](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithSAML.html), di *Referensi AWS Security Token Service API*.
1. Tanggapan API ke aplikasi klien meliputi kredensial keamanan sementara.
1. Aplikasi klien menggunakan kredensial keamanan sementara untuk menghubungi operasi API Athena, memungkinkan pengguna mengakses operasi API Athena.
## Prosedur: Aktifkan akses federasi berbasis SAMP ke Athena API
Prosedur ini menetapkan kepercayaan antara IDP organisasi Anda dan akun AWS Anda untuk mengaktifkan akses federasi berbasis SAML ke operasi Amazon Athena API.
**Untuk mengaktifkan akses gabungan ke API Athena:**
1. Di organisasi Anda, daftar AWS sebagai penyedia layanan (SP) di IDP Anda. Proses ini dikenal sebagai*Mengonfigurasi kepercayaan pihak*. *Untuk informasi selengkapnya, lihat [Mengonfigurasi IDP SAMP 2.0 Anda dengan mengandalkan kepercayaan pihak](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_relying-party.html) pada Panduan Pengguna IAM.* Sebagai bagian dari tugas ini, lakukan langkah-langkah berikut:
1. Dapatkan dokumen metadata SAML sampel dari URL ini: [https://signin.aws.amazon.com/static/saml-metadata.xml](https://signin.aws.amazon.com/static/saml-metadata.xml).
1. Di IDP (ADFS) organisasi Anda, buat file XMLmetadata setara yang menjelaskan IDP Anda sebagai penyedia identitas. AWS File metadata Anda harus menyertakan nama penerbit, tanggal pembuatan, tanggal kedaluwarsa, dan kunci yang AWS digunakan untuk memvalidasi tanggapan otentikasi (pernyataan) dari organisasi Anda.
1. Di konsol IAM, buat entitas penyedia identitas SAML. Untuk informasi selengkapnya, lihat [Membuat penyedia identitas SAMP](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html) di *Panduan Pengguna IAM*. Sebagai bagian dari langkah ini, lakukan hal berikut:
1. Buka konsol IAM di [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/).
1. Upload dokumen metadata SAML yang dihasilkan oleh IdP (ADFS) di langkah 1 dalam prosedur ini.
1. Di konsol IAM, buat satu atau lebih IAM role untuk IdP Anda. Untuk informasi selengkapnya, lihat [Membuat peran untuk Penyedia Identitas pihak ketiga (federasi)](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-idp.html) di *Panduan Pengguna IAM*. Sebagai bagian dari langkah ini, lakukan hal berikut:
+ Dalam kebijakan izin peran, cantumkan tindakan yang diizinkan untuk dilakukan oleh pengguna dari organisasi Anda di AWS.
+ Dalam kebijakan kepercayaan peran, tetapkan entitas penyedia SAML yang Anda buat di Langkah 2 prosedur ini sebagai utama.
Ini membangun hubungan kepercayaan antara organisasi Anda dan AWS.
1. Dalam organisasi , Anda mendefinisikan pernyataan yang memetakan pengguna atau grup dalam organisasi Anda ke IAM role. Pemetaan pengguna dan grup untuk IAM role juga dikenal sebagai*Aturan klaim*. Perhatikan bahwa pengguna dan grup yang berbeda pada organisasi Anda mungkin memetakan IAM role yang berbeda.
Untuk informasi tentang mengonfigurasi pemetaan di ADFS, lihat posting blog: [Mengaktifkan federasi untuk AWS menggunakan Windows Active Directory, ADFS,](https://aws.amazon.com/blogs/security/enabling-federation-to-aws-using-windows-active-directory-adfs-and-saml-2-0/) dan SAMP 2.0.
1. Menginstal dan mengonfigurasi driver JDBC atau ODBC dengan dukungan SAML 2.0. Untuk informasi selengkapnya, lihat [Connect ke Amazon Athena dengan JDBC](connect-with-jdbc.md) dan [Connect ke Amazon Athena dengan ODBC](connect-with-odbc.md).
1. Tentukan string koneksi dari aplikasi Anda ke driver JDBC atau ODBC. Untuk informasi tentang rangkaian koneksi yang harus digunakan aplikasi Anda, lihat topik*“Menggunakan penyedia kredensials Active Directory Federation Services (ADFS)”*di*JDBC Driver Instalasi dan Panduan Konfigurasi*, atau topik serupa di*ODBC Driver instalasi dan konfigurasi panduan*tersedia sebagai unduhan PDF dari[Connect ke Amazon Athena dengan JDBC](connect-with-jdbc.md)dan[Connect ke Amazon Athena dengan ODBC](connect-with-odbc.md)topik.
Berikut ini adalah ringkasan level tinggi mengonfigurasi string koneksi ke driver:
1. Di`AwsCredentialsProviderClass configuration`, mengatur`com.simba.athena.iamsupport.plugin.AdfsCredentialsProvider`untuk menunjukkan bahwa Anda ingin menggunakan otentikasi berbasis SAML 2.0 melalui ADFS IdP.
1. Untuk`idp_host`, memberikan nama host ADFS IdP server.
1. Untuk`idp_port`, menyediakan nomor port yang ADFS IdP mendengarkan untuk permintaan pernyataan SAML.
1. Untuk`UID`dan`PWD`, berikan kredensial pengguna domain AD. Saat menggunakan driver di Windows, jika`UID`dan`PWD`tidak disediakan, driver mencoba untuk mendapatkan kredensial pengguna yang masuk ke mesin Windows.
1. Opsional, set`ssl_insecure`ke`true`. Dalam kasus ini, driver tidak memeriksa keaslian sertifikat SSL untuk ADFS IdP server. Pengaturan ke `true` diperlukan jika sertifikat SSL ADFS iDP belum dikonfigurasi untuk dipercaya oleh driver.
1. Untuk mengaktifkan pemetaan pengguna domain direktori aktif atau grup untuk satu atau lebih IAM role (seperti yang disebutkan dalam langkah 4 prosedur ini), dalam`preferred_role`untuk koneksi JDBC atau ODBC, menentukan IAM role (ARN) untuk mengasumsikan untuk koneksi driver. Menentukan`preferred_role`bersifat opsional, dan berguna jika peran bukan peran pertama yang tercantum dalam aturan klaim.
Sebagai hasil dari prosedur ini, tindakan berikut terjadi:
1. [Driver JDBC atau ODBC memanggil AWS STS[AssumeRoleWithSAMP](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithSAML.html) API, dan meneruskannya pernyataan, seperti yang ditunjukkan pada langkah 4 diagram arsitektur.](#access-federation-diagram)
1. AWS memastikan bahwa permintaan untuk mengambil peran berasal dari idP yang direferensikan di entitas penyedia SAMP.
1. Jika permintaan berhasil, operasi AWS STS [AssumeRoleWithSAMP API mengembalikan satu set kredensil](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRoleWithSAML.html) keamanan sementara, yang digunakan aplikasi klien Anda untuk membuat permintaan yang ditandatangani ke Athena.
Aplikasi Anda sekarang memiliki informasi tentang pengguna saat ini dan dapat mengakses Athena secara pemrograman.
# Log dan pantau Athena
Untuk mendeteksi insiden, menerima peringatan saat insiden terjadi, dan menanggapinya, gunakan opsi ini dengan Amazon Athena:
+ **Memantau Athena dengan AWS CloudTrail** — [AWS CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/)menyediakan catatan tindakan yang diambil oleh pengguna, peran, atau di Layanan AWS Athena. Ini menangkap panggilan dari konsol Athena dan panggilan kode ke operasi API Athena sebagai peristiwa. Anda dapat menentukan permintaan yang dibuat ke Athena, alamat IP tempat permintaan dibuat, siapa yang membuat permintaan, kapan permintaan dibuat, dan detail tambahan. Untuk informasi selengkapnya, lihat [Log panggilan API Amazon Athena dengan AWS CloudTrail](monitor-with-cloudtrail.md).
Anda juga dapat menggunakan Athena untuk menanyakan file CloudTrail log tidak hanya untuk Athena, tetapi untuk yang lain. Layanan AWS Untuk informasi selengkapnya, lihat [AWS CloudTrail Log kueri](cloudtrail-logs.md).
+ **Pantau penggunaan Athena dengan dan CloudTrail Amazon Quick — [Amazon Quick](https://aws.amazon.com/quicksight/)** adalah layanan intelijen bisnis bertenaga cloud yang dikelola sepenuhnya yang memungkinkan Anda membuat dasbor interaktif yang dapat diakses organisasi Anda dari perangkat apa pun. Untuk contoh solusi yang menggunakan CloudTrail dan Amazon Quick untuk memantau penggunaan Athena, lihat posting blog AWS Big Data [Bagaimana Realtor.com memantau penggunaan Amazon Athena](https://aws.amazon.com/blogs/big-data/analyzing-amazon-athena-usage-by-teams-within-a-real-estate-company/) dengan dan Cepat. AWS CloudTrail
+ **Gunakan EventBridge dengan Athena -** Amazon EventBridge memberikan aliran peristiwa sistem yang mendekati waktu nyata yang menggambarkan perubahan sumber daya. AWS EventBridge menyadari perubahan operasional saat terjadi, meresponsnya, dan mengambil tindakan korektif seperlunya, dengan mengirim pesan untuk merespons lingkungan, mengaktifkan fungsi, membuat perubahan, dan menangkap informasi negara. Peristiwa dipancarkan atas dasar upaya terbaik. Untuk informasi selengkapnya, lihat [Memulai Amazon EventBridge](https://docs.aws.amazon.com/eventbridge/latest/userguide/eb-get-started.html) *di Panduan EventBridge Pengguna Amazon*.
+ **Gunakan grup kerja untuk memisahkan pengguna, tim, aplikasi, atau beban kerja, dan untuk menetapkan batas kueri dan mengontrol biaya kueri** — Anda dapat melihat metrik terkait kueri di Amazon CloudWatch, mengontrol biaya kueri dengan mengonfigurasi batas jumlah data yang dipindai, membuat ambang batas, dan memicu tindakan, seperti alarm Amazon SNS, saat ambang batas ini dilanggar. Untuk informasi selengkapnya, lihat [Gunakan kelompok kerja untuk mengontrol akses kueri dan biaya](workgroups-manage-queries-control-costs.md). Gunakan izin IAM level sumber daya untuk mengontrol akses ke grup kerja tertentu. Lihat informasi yang lebih lengkap di [Menggunakan kebijakan IAM untuk mengontrol akses workgroup](workgroups-iam-policy.md) dan [Menggunakan CloudWatch dan EventBridge memantau kueri dan mengendalikan biaya](workgroups-control-limits.md).
**Topics**
+ [Log panggilan API Amazon Athena dengan AWS CloudTrail](monitor-with-cloudtrail.md)
# Log panggilan API Amazon Athena dengan AWS CloudTrail
Athena terintegrasi dengan AWS CloudTrail, layanan yang menyediakan catatan tindakan yang diambil oleh pengguna, peran, atau di Layanan AWS Athena.
CloudTrail menangkap semua panggilan API untuk Athena sebagai acara. Panggilan yang direkam meliputi panggilan dari konsol Athena dan panggilan kode ke operasi API Athena. Jika Anda membuat jejak, Anda dapat mengaktifkan pengiriman CloudTrail acara secara terus menerus ke bucket Amazon S3, termasuk acara untuk Athena. Jika Anda tidak mengonfigurasi jejak, Anda masih dapat melihat peristiwa terbaru di CloudTrail konsol dalam **Riwayat acara**.
Dengan menggunakan informasi yang dikumpulkan oleh CloudTrail, Anda dapat menentukan permintaan yang dibuat ke Athena, alamat IP dari mana permintaan itu dibuat, siapa yang membuat permintaan, kapan dibuat, dan detail tambahan.
Untuk mempelajari selengkapnya CloudTrail, lihat [Panduan AWS CloudTrail Pengguna](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/).
Anda dapat menggunakan Athena untuk menanyakan file CloudTrail log dari Athena itu sendiri dan dari yang lain. Layanan AWS Untuk informasi lebih lanjut, lihat[AWS CloudTrail Log kueri](cloudtrail-logs.md),[Sarang JSON SerDe](hive-json-serde.md), dan posting Blog AWS Big Data [Gunakan pernyataan CTAS dengan Amazon Athena untuk mengurangi biaya dan meningkatkan](https://aws.amazon.com/blogs/big-data/using-ctas-statements-with-amazon-athena-to-reduce-cost-and-improve-performance/) kinerja, yang CloudTrail digunakan untuk memberikan wawasan tentang penggunaan Athena.
## Tentang Athena informasi di CloudTrail
CloudTrail diaktifkan di akun Amazon Web Services Anda saat Anda membuat akun. Ketika aktivitas terjadi di Athena, aktivitas tersebut dicatat dalam suatu CloudTrail peristiwa bersama dengan acara AWS layanan lainnya dalam riwayat **Acara**. Anda dapat melihat, mencari, dan mengunduh kejadian terbaru di akun Amazon Web Services Anda. Untuk informasi selengkapnya, lihat [Melihat peristiwa dengan riwayat CloudTrail acara](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html).
Untuk catatan peristiwa yang sedang berlangsung di akun Amazon Web Services Anda, termasuk peristiwa untuk Athena, buatlah jejak. *Jejak* memungkinkan CloudTrail untuk mengirimkan file log ke bucket Amazon S3. Secara default, saat Anda membuat jejak di konsol, jejak tersebut berlaku untuk semua Wilayah AWS. Jejak mencatat peristiwa dari semua Wilayah di AWS partisi dan mengirimkan file log ke bucket Amazon S3 yang Anda tentukan. Selain itu, Anda dapat mengonfigurasi lainnya Layanan AWS untuk menganalisis lebih lanjut dan menindaklanjuti data peristiwa yang dikumpulkan dalam CloudTrail log. Untuk informasi selengkapnya, lihat berikut:
+ [Gambaran umum untuk membuat jejak](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html)
+ [CloudTrail layanan dan integrasi yang didukung](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-aws-service-specific-topics.html#cloudtrail-aws-service-specific-topics-integrations)
+ [Mengonfigurasi notifikasi Amazon SNS untuk CloudTrail](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/getting_notifications_top_level.html)
+ [Menerima file CloudTrail log dari beberapa wilayah](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/receive-cloudtrail-log-files-from-multiple-regions.html) dan [Menerima file CloudTrail log dari beberapa akun](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-receive-logs-from-multiple-accounts.html)
Semua tindakan Athena dicatat oleh CloudTrail dan didokumentasikan dalam Referensi API [Amazon Athena](https://docs.aws.amazon.com/athena/latest/APIReference/). Misalnya, panggilan ke [StartQueryExecution](https://docs.aws.amazon.com/athena/latest/APIReference/API_StartQueryExecution.html)dan [GetQueryResults](https://docs.aws.amazon.com/athena/latest/APIReference/API_StartQueryExecution.html)tindakan menghasilkan entri dalam file CloudTrail log.
Setiap entri peristiwa atau log berisi informasi tentang entitas yang membuat permintaan tersebut. Informasi identitas membantu Anda menentukan hal berikut ini:
+ Apakah permintaan itu dibuat dengan kredenal pengguna root atau AWS Identity and Access Management (IAM).
+ Apakah permintaan tersebut dibuat dengan kredensial keamanan sementara untuk satu peran atau pengguna gabungan.
+ Apakah permintaan tersebut dibuat oleh Layanan AWS lain.
Untuk informasi selengkapnya, lihat [Elemen userIdentity CloudTrail ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-event-reference-user-identity.html).
## Memahami entri file log Athena
Trail adalah konfigurasi yang memungkinkan pengiriman peristiwa sebagai file log ke bucket Amazon S3 yang Anda tentukan. CloudTrail file log berisi satu atau lebih entri log. Peristiwa mewakili permintaan tunggal dari sumber manapun dan mencakup informasi tentang tindakan yang diminta, tanggal dan waktu tindakan, parameter permintaan, dan sebagainya. CloudTrail file log bukanlah jejak tumpukan yang diurutkan dari panggilan API publik, jadi file tersebut tidak muncul dalam urutan tertentu.
**catatan**
Untuk mencegah pengungkapan informasi sensitif yang tidak diinginkan, `queryString` entri dalam `CreateNamedQuery` log `StartQueryExecution` dan log memiliki nilai. `***OMITTED***` Ini dengan desain. Untuk mengakses string kueri yang sebenarnya, Anda dapat menggunakan Athena [GetQueryExecution](https://docs.aws.amazon.com/athena/latest/APIReference/API_GetQueryExecution.html)API dan meneruskan nilai `responseElements.queryExecutionId` dari log. CloudTrail
Contoh berikut menunjukkan entri CloudTrail log untuk:
+ [StartQueryExecution(Berhasil)](#startqueryexecution-successful)
+ [StartQueryExecution (Gagal)](#startqueryexecution-failed)
+ [CreateNamedQuery](#createnamedquery)
### StartQueryExecution (berhasil)
```
{
"eventVersion":"1.05",
"userIdentity":{
"type":"IAMUser",
"principalId":"EXAMPLE_PRINCIPAL_ID",
"arn":"arn:aws:iam::123456789012:user/johndoe",
"accountId":"123456789012",
"accessKeyId":"EXAMPLE_KEY_ID",
"userName":"johndoe"
},
"eventTime":"2017-05-04T00:23:55Z",
"eventSource":"athena.amazonaws.com",
"eventName":"StartQueryExecution",
"awsRegion":"us-east-1",
"sourceIPAddress":"77.88.999.69",
"userAgent":"aws-internal/3",
"requestParameters":{
"clientRequestToken":"16bc6e70-f972-4260-b18a-db1b623cb35c",
"resultConfiguration":{
"outputLocation":"s3://amzn-s3-demo-bucket/test/"
},
"queryString":"***OMITTED***"
},
"responseElements":{
"queryExecutionId":"b621c254-74e0-48e3-9630-78ed857782f9"
},
"requestID":"f5039b01-305f-11e7-b146-c3fc56a7dc7a",
"eventID":"c97cf8c8-6112-467a-8777-53bb38f83fd5",
"eventType":"AwsApiCall",
"recipientAccountId":"123456789012"
}
```
### StartQueryExecution (gagal)
```
{
"eventVersion":"1.05",
"userIdentity":{
"type":"IAMUser",
"principalId":"EXAMPLE_PRINCIPAL_ID",
"arn":"arn:aws:iam::123456789012:user/johndoe",
"accountId":"123456789012",
"accessKeyId":"EXAMPLE_KEY_ID",
"userName":"johndoe"
},
"eventTime":"2017-05-04T00:21:57Z",
"eventSource":"athena.amazonaws.com",
"eventName":"StartQueryExecution",
"awsRegion":"us-east-1",
"sourceIPAddress":"77.88.999.69",
"userAgent":"aws-internal/3",
"errorCode":"InvalidRequestException",
"errorMessage":"Invalid result configuration. Should specify either output location or result configuration",
"requestParameters":{
"clientRequestToken":"ca0e965f-d6d8-4277-8257-814a57f57446",
"queryString":"***OMITTED***"
},
"responseElements":null,
"requestID":"aefbc057-305f-11e7-9f39-bbc56d5d161e",
"eventID":"6e1fc69b-d076-477e-8dec-024ee51488c4",
"eventType":"AwsApiCall",
"recipientAccountId":"123456789012"
}
```
### CreateNamedQuery
```
{
"eventVersion":"1.05",
"userIdentity":{
"type":"IAMUser",
"principalId":"EXAMPLE_PRINCIPAL_ID",
"arn":"arn:aws:iam::123456789012:user/johndoe",
"accountId":"123456789012",
"accessKeyId":"EXAMPLE_KEY_ID",
"userName":"johndoe"
},
"eventTime":"2017-05-16T22:00:58Z",
"eventSource":"athena.amazonaws.com",
"eventName":"CreateNamedQuery",
"awsRegion":"us-west-2",
"sourceIPAddress":"77.88.999.69",
"userAgent":"aws-cli/1.11.85 Python/2.7.10 Darwin/16.6.0 botocore/1.5.48",
"requestParameters":{
"name":"johndoetest",
"queryString":"***OMITTED***",
"database":"default",
"clientRequestToken":"fc1ad880-69ee-4df0-bb0f-1770d9a539b1"
},
"responseElements":{
"namedQueryId":"cdd0fe29-4787-4263-9188-a9c8db29f2d6"
},
"requestID":"2487dd96-3a83-11e7-8f67-c9de5ac76512",
"eventID":"15e3d3b5-6c3b-4c7c-bc0b-36a8dd95227b",
"eventType":"AwsApiCall",
"recipientAccountId":"123456789012"
},
```
# Validasi kepatuhan untuk
Auditor pihak ketiga menilai keamanan dan kepatuhan sebagai bagian dari beberapa program AWS kepatuhan. Ini mencakup SOC, PCI, FedRAMP, dan lainnya.
Untuk daftar Layanan AWS dalam lingkup program kepatuhan tertentu, lihat [Layanan AWS dalam lingkup berdasarkan program kepatuhan](https://aws.amazon.com/compliance/services-in-scope/). Untuk informasi umum, lihat [Program kepatuhan AWS](https://aws.amazon.com/compliance/programs/).
Anda dapat mengunduh laporan audit pihak ketiga menggunakan AWS Artifact. Untuk informasi selengkapnya, lihat [Mengunduh laporan di AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html).
Tanggung jawab kepatuhan Anda saat menggunakan ditentukan oleh sensitivitas data Anda, tujuan kepatuhan perusahaan Anda, dan hukum dan peraturan yang berlaku. AWS menyediakan sumber daya berikut untuk membantu kepatuhan:
+ [Panduan memulai cepat keamanan dan kepatuhan — Panduan](https://aws.amazon.com/quickstart/?awsf.quickstart-homepage-filter=categories%23security-identity-compliance) penerapan ini membahas pertimbangan arsitektur dan memberikan langkah-langkah untuk menerapkan lingkungan dasar yang berfokus pada keamanan dan kepatuhan. AWS
+ [Arsitektur untuk keamanan dan kepatuhan HIPAA di Amazon Web Services](https://docs.aws.amazon.com/whitepapers/latest/architecting-hipaa-security-and-compliance-on-aws/architecting-hipaa-security-and-compliance-on-aws.html) — Whitepaper ini menjelaskan bagaimana perusahaan dapat menggunakan AWS untuk membuat aplikasi yang sesuai dengan HIPAA.
+ [AWS sumber daya kepatuhan](https://aws.amazon.com/compliance/resources/) - Kumpulan buku kerja dan panduan ini mungkin berlaku untuk industri dan lokasi Anda.
+ [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/evaluate-config.html)— Ini Layanan AWS menilai seberapa baik konfigurasi sumber daya Anda mematuhi praktik internal, pedoman industri, dan peraturan.
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html)— Ini Layanan AWS memberikan pandangan komprehensif tentang keadaan keamanan Anda di dalamnya AWS yang membantu Anda memeriksa kepatuhan Anda terhadap standar industri keamanan dan praktik terbaik.
# Ketahanan di Athena
Infrastruktur AWS global dibangun di sekitar Wilayah AWS dan Availability Zones. Wilayah AWS menyediakan beberapa Availability Zone yang terpisah secara fisik dan terisolasi, yang terhubung dengan latensi rendah, throughput tinggi, dan jaringan yang sangat redundan. Dengan Zona Ketersediaan, Anda dapat merancang dan mengoperasikan aplikasi dan basis data yang secara otomatis melakukan failover di antara Zona Ketersediaan tanpa gangguan. Zona Ketersediaan memiliki ketersediaan dan toleransi kesalahan yang lebih baik, dan dapat diskalakan dibandingkan infrastruktur biasa yang terdiri dari satu atau beberapa pusat data.
Untuk informasi selengkapnya tentang Wilayah AWS dan Availability Zone, lihat [infrastruktur AWS global](https://aws.amazon.com/about-aws/global-infrastructure/).
Selain infrastruktur AWS global, menawarkan beberapa fitur untuk membantu mendukung ketahanan data dan kebutuhan cadangan Anda.
Athena tidak memiliki server, sehingga tidak ada infrastruktur untuk disiapkan atau dikelola. Athena sangat tersedia dan menjalankan kueri menggunakan sumber daya komputasi di beberapa Availability Zone, secara otomatis merutekan kueri dengan tepat jika Availability Zone tertentu tidak terjangkau. Athena menggunakan Amazon S3 sebagai penyimpanan data yang mendasarinya, membuat data Anda sangat tersedia dan tahan lama. Amazon S3 menyediakan infrastruktur tahan lama untuk menyimpan data penting dan dirancang untuk daya tahan 99,999999999% objek. Data Anda disimpan secara berlebihan di berbagai fasilitas dan beberapa perangkat di setiap fasilitas.
# Keamanan infrastruktur di Athena
Sebagai layanan terkelola, dilindungi oleh keamanan jaringan AWS global. Untuk informasi tentang layanan AWS keamanan dan cara AWS melindungi infrastruktur, lihat [Keamanan AWS Cloud](https://aws.amazon.com/security/). Untuk mendesain AWS lingkungan Anda menggunakan praktik terbaik untuk keamanan infrastruktur, lihat [Perlindungan Infrastruktur dalam Kerangka Kerja](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/infrastructure-protection.html) yang * AWS Diarsiteksikan dengan Baik Pilar Keamanan*.
Anda menggunakan panggilan API yang AWS dipublikasikan untuk mengakses melalui jaringan. Klien harus mendukung hal-hal berikut:
+ Keamanan Lapisan Pengangkutan (TLS). Kami mensyaratkan TLS 1.2 dan menganjurkan TLS 1.3.
+ Sandi cocok dengan sistem kerahasiaan maju sempurna (perfect forward secrecy, PFS) seperti DHE (Ephemeral Diffie-Hellman) atau ECDHE (Elliptic Curve Ephemeral Diffie-Hellman). Sebagian besar sistem modern seperti Java 7 dan versi lebih baru mendukung mode-mode ini.
Gunakan kebijakan IAM untuk membatasi akses ke operasi Athena. Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan dalam IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) di *Panduan Pengguna IAM*.
[Kebijakan terkelola](security-iam-awsmanpol.md) Athena mudah digunakan, dan diperbarui secara otomatis dengan tindakan yang diperlukan seiring berkembangnya layanan. Kebijakan yang dikelola pelanggan dan inline memungkinkan Anda untuk menyempurnakan kebijakan dengan menentukan tindakan Athena yang lebih terperinci dalam kebijakan. Memberikan akses yang sesuai ke lokasi data Amazon S3. Untuk informasi dan skenario mendetail tentang cara memberikan akses Amazon S3, lihat [Contoh penelusuran: Mengelola akses di Panduan Pengembang Layanan](https://docs.aws.amazon.com/AmazonS3/latest/userguide/example-walkthroughs-managing-access.html) Penyimpanan *Sederhana Amazon*. Untuk informasi selengkapnya dan contoh tindakan Amazon S3 yang diizinkan, lihat kebijakan bucket contoh di [Akses Lintas Akun](cross-account-permissions.md).
**Topics**
+ [Connect ke Amazon Athena menggunakan antarmuka VPC endpoint](interface-vpc-endpoint.md)
# Connect ke Amazon Athena menggunakan antarmuka VPC endpoint
Anda dapat meningkatkan postur keamanan VPC Anda dengan menggunakan antarmuka VPC [endpoint ()AWS PrivateLink dan titik akhir VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html) di Virtual Private Cloud ([AWS Glue VPC](https://docs.aws.amazon.com/glue/latest/dg/vpc-endpoint.html)) Anda. Endpoint VPC antarmuka meningkatkan keamanan dengan memberi Anda kontrol atas tujuan apa yang dapat dicapai dari dalam VPC Anda. Setiap titik akhir VPC diwakili oleh satu atau lebih [antarmuka jaringan Elastic](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/using-eni.html) (ENIs) dengan alamat IP pribadi di subnet VPC Anda.
Titik akhir VPC antarmuka menghubungkan VPC Anda langsung ke Athena tanpa gateway internet, perangkat NAT, koneksi VPN, atau koneksi. Direct Connect Instans dalam VPC Anda tidak memerlukan alamat IP publik untuk berkomunikasi dengan API Athena.
Untuk menggunakan Athena melalui VPC Anda, Anda harus terhubung dari sebuah instans yang ada di dalam VPC atau menghubungkan jaringan privat Anda ke VPC Anda dengan menggunakan Amazon Virtual Private Network (VPN) atau Direct Connect. Untuk informasi tentang Amazon VPN, lihat [Koneksi VPN](https://docs.aws.amazon.com/vpc/latest/userguide/vpn-connections.html) di *Panduan Pengguna Amazon Virtual Private Cloud*. Untuk selengkapnya AWS Direct Connect, lihat [Membuat sambungan](https://docs.aws.amazon.com/directconnect/latest/UserGuide/create-connection.html) di *Panduan Direct Connect Pengguna*.
[Athena mendukung titik akhir VPC di semua tempat Wilayah AWS Amazon [VPC](https://docs.aws.amazon.com/general/latest/gr/rande.html#vpc_region) dan Athena tersedia.](https://docs.aws.amazon.com/general/latest/gr/rande.html#athena)
Anda dapat membuat titik akhir VPC antarmuka untuk terhubung ke Athena menggunakan perintah or (). Konsol Manajemen AWS AWS Command Line Interface AWS CLI Untuk informasi selengkapnya, lihat [Membuat titik akhir antarmuka](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint).
Setelah Anda membuat titik akhir VPC antarmuka, jika Anda mengaktifkan nama host [DNS pribadi](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#vpce-private-dns) untuk titik akhir, titik akhir Athena default (https://athena. *Region*.amazonaws.com) menyelesaikan ke titik akhir VPC Anda.
Jika Anda tidak mengaktifkan nama host DNS privat, Amazon VPC menyediakan nama titik akhir DNS yang dapat Anda gunakan dalam format berikut:
```
VPC_Endpoint_ID.athena.Region.vpce.amazonaws.com
```
Untuk informasi selengkapnya, lihat [Titik akhir VPC Antarmuka (AWS PrivateLink) di Panduan](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html) Pengguna Amazon *VPC*.
Athena mendukung panggilan ke semua [tindakan API-nya](https://docs.aws.amazon.com/athena/latest/APIReference/API_Operations.html) di dalam VPC Anda.
## Membuat kebijakan titik akhir VPC untuk Athena
Anda dapat membuat kebijakan untuk titik akhir VPC Amazon untuk Athena untuk menentukan batasan seperti berikut:
+ **Principal** — Prinsipal yang dapat melakukan tindakan.
+ **Tindakan** — Tindakan yang dapat dilakukan.
+ **Sumber daya** — Sumber daya di mana tindakan dapat dilakukan.
+ **Hanya identitas tepercaya** — Gunakan `aws:PrincipalOrgId` kondisi untuk membatasi akses hanya ke kredensyal yang merupakan bagian dari organisasi Anda. AWS Ini dapat membantu mencegah akses oleh kepala sekolah yang tidak diinginkan.
+ **Hanya sumber daya tepercaya** — Gunakan `aws:ResourceOrgId` kondisi untuk mencegah akses ke sumber daya yang tidak diinginkan.
+ **Hanya identitas dan sumber daya tepercaya** — Buat kebijakan gabungan untuk titik akhir VPC yang membantu mencegah akses ke prinsip dan sumber daya yang tidak diinginkan.
*Untuk informasi selengkapnya, lihat [Mengontrol akses ke layanan dengan titik akhir VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-access.html) di *Panduan Pengguna Amazon VPC* dan Lampiran [2 — Contoh kebijakan titik akhir VPC](https://docs.aws.amazon.com/whitepapers/latest/building-a-data-perimeter-on-aws/appendix-2-vpc-endpoint-policy-examples.html) di Whitepaper Membangun perimeter data. AWS AWS*
**Example — Kebijakan titik akhir VPC**
Contoh berikut memungkinkan permintaan oleh identitas organisasi untuk sumber daya organisasi dan memungkinkan permintaan oleh prinsipal AWS layanan.
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AllowRequestsByOrgsIdentitiesToOrgsResources",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "*",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:PrincipalOrgID": "my-org-id",
"aws:ResourceOrgID": "my-org-id"
}
}
},
{
"Sid": "AllowRequestsByAWSServicePrincipals",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "*",
"Resource": "*",
"Condition": {
"Bool": {
"aws:PrincipalIsAWSService": "true"
}
}
}
]
}
```
Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan di IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dalam *Panduan Pengguna IAM*.
## Tentang titik akhir VPC di subnet bersama
Anda tidak dapat membuat, mendeskripsikan, memodifikasi, atau menghapus titik akhir VPC di subnet yang dibagikan dengan Anda. Namun, Anda dapat menggunakan titik akhir VPC di subnet yang dibagikan dengan Anda. Untuk informasi tentang berbagi VPC, lihat [Membagikan VPC Anda dengan akun lain di Panduan Pengguna](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-sharing.html) Amazon *VPC*.
# Analisis konfigurasi dan kerentanan di Athena
Athena tidak memiliki server, jadi tidak ada infrastruktur untuk diatur atau dikelola. AWS menangani tugas-tugas keamanan dasar, seperti sistem operasi tamu (OS) dan patch database, konfigurasi firewall, dan pemulihan bencana. Prosedur ini telah ditinjau dan disertifikasi oleh pihak ketiga yang sesuai. Untuk detail selengkapnya, lihat AWS sumber daya berikut:
+ [Model tanggung jawab bersama](https://aws.amazon.com/compliance/shared-responsibility-model/)
+ [Praktik terbaik untuk keamanan, identitas, & kepatuhan](https://aws.amazon.com/architecture/security-identity-compliance/)
# Gunakan Athena untuk menanyakan data yang terdaftar dengan AWS Lake Formation
[AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/what-is-lake-formation.html)memungkinkan Anda menentukan dan menerapkan kebijakan akses tingkat database, tabel, dan kolom saat menggunakan kueri Athena untuk membaca data yang disimpan di Amazon S3 atau diakses melalui sumber data gabungan. Lake Formation menyediakan lapisan otorisasi dan tata kelola pada data yang disimpan di Amazon S3 atau katalog data federasi. Anda dapat menggunakan hierarki izin di Lake Formation untuk memberikan atau mencabut izin untuk membaca objek katalog data seperti basis data, tabel, dan kolom. Lake Formation menyederhanakan pengelolaan izin dan memungkinkan Anda menerapkan kontrol akses ketat (FGAC) untuk data Anda.
Anda dapat menggunakan Athena untuk mengkueri kedua data yang terdaftar dengan Lake Formation dan data yang tidak terdaftar dengan Lake Formation.
Izin Lake Formation berlaku saat menggunakan Athena untuk menanyakan data sumber dari lokasi Amazon S3 atau katalog data yang terdaftar di Lake Formation. Izin Lake Formation juga berlaku saat Anda membuat database dan tabel yang mengarah ke lokasi data Amazon S3 atau katalog data terdaftar.
Izin Lake Formation tidak berlaku saat menulis objek, juga tidak berlaku saat menanyakan data atau metadata yang tidak terdaftar di Lake Formation. Untuk data sumber dan metadata yang tidak terdaftar di Lake Formation, akses ditentukan oleh kebijakan dan tindakan izin IAM. AWS Glue Lokasi hasil kueri Athena di Amazon S3 tidak dapat didaftarkan dengan Lake Formation, dan kebijakan izin IAM untuk akses kontrol Amazon S3. Selain itu, Lake Formation izin tidak berlaku untuk riwayat permintaan Athena. Anda dapat menggunakan grup kerja Athena untuk mengontrol akses ke riwayat kueri.
Untuk informasi lebih lanjut tentang Lake Formation, lihat [Lake Formation FAQs](https://aws.amazon.com/lake-formation/faqs/) dan [Panduan AWS Lake Formation Pengembang](https://docs.aws.amazon.com/lake-formation/latest/dg/what-is-lake-formation.html).
## Terapkan izin Lake Formation ke database dan tabel yang ada
Jika Anda baru mengenal Athena dan Anda menggunakan Lake Formation untuk mengonfigurasi akses ke data kueri, Anda tidak perlu mengonfigurasi kebijakan IAM sehingga pengguna dapat membaca data dan membuat metadata. Anda dapat menggunakan Lake Formation untuk mengelola izin.
Mendaftarkan data dengan Lake Formation dan memperbarui kebijakan izin IAM bukan merupakan persyaratan. Jika data tidak terdaftar di Lake Formation, pengguna Athena yang memiliki izin yang sesuai dapat melanjutkan kueri data yang tidak terdaftar di Lake Formation.
Jika Anda memiliki pengguna Athena yang menanyakan data Amazon S3 yang tidak terdaftar di Lake Formation, Anda dapat memperbarui izin IAM untuk Amazon S3—dan, jika AWS Glue Data Catalog berlaku—sehingga Anda dapat menggunakan izin Lake Formation untuk mengelola akses pengguna secara terpusat. Untuk izin untuk membaca lokasi data Amazon S3, Anda dapat memperbarui berbasis sumber daya dan kebijakan berbasis identitas untuk memodifikasi izin Amazon S3. Untuk akses ke metadata, jika Anda mengonfigurasi kebijakan tingkat sumber daya untuk kontrol akses berbutir halus, Anda AWS Glue dapat menggunakan izin Lake Formation untuk mengelola akses.
Untuk informasi selengkapnya, lihat [Konfigurasikan akses ke database dan tabel di AWS Glue Data Catalog](fine-grained-access-to-glue-resources.md) dan [Memutakhirkan izin AWS Glue data ke AWS Lake Formation model di](https://docs.aws.amazon.com/lake-formation/latest/dg/upgrade-glue-lake-formation.html) Panduan *AWS Lake Formation Pengembang*.
**Topics**
+ [Terapkan izin Lake Formation ke database dan tabel yang ada](#lf-athena-apply-lf-permissions-to-existing-databases-and-tables)
+ [Cara kerja akses data](lf-athena-access.md)
+ [Pertimbangan dan batasan](lf-athena-limitations.md)
+ [Akses lintas akun](lf-athena-limitations-cross-account.md)
+ [Kelola izin pengguna](lf-athena-user-permissions.md)
+ [Gunakan Lake Formation dan JDBC atau ODBC untuk akses federasi](security-athena-lake-formation-jdbc.md)
# Bagaimana Athena mengakses data yang terdaftar di Lake Formation
Alur kerja akses yang dijelaskan di bagian ini berlaku saat Anda menjalankan kueri Athena di lokasi Amazon S3, katalog data, atau objek metadata yang terdaftar di Lake Formation. Untuk informasi selengkapnya, lihat [Mendaftarkan data lake](https://docs.aws.amazon.com/lake-formation/latest/dg/register-data-lake.html) di *Panduan AWS Lake Formation Pengembang*. Selain mendaftarkan data, administrator Lake Formation menerapkan izin Lake Formation yang memberikan atau mencabut akses ke metadata di katalog data AWS Glue Data Catalog, atau lokasi data di Amazon S3. Untuk informasi selengkapnya, lihat [Keamanan dan kontrol akses ke metadata dan data](https://docs.aws.amazon.com/lake-formation/latest/dg/security-data-access.html#security-data-access-permissions) di Panduan *AWS Lake Formation Pengembang*.
Setiap kali kepala sekolah Athena (pengguna, grup, atau peran) menjalankan kueri pada data yang terdaftar menggunakan Lake Formation, Lake Formation memverifikasi bahwa kepala sekolah memiliki izin Lake Formation yang sesuai ke database, tabel, dan lokasi sumber data yang sesuai untuk kueri. Jika utama memiliki akses, Lake Formation*vends*sementara mandat untuk Athena, dan permintaan berjalan.
Diagram berikut menunjukkan cara kerja penjual kredenal di Athena query-by-query berdasarkan `SELECT` kueri hipotetis pada tabel dengan lokasi Amazon S3 atau katalog data yang terdaftar di Lake Formation:
![\[Alur kerja penjual kredenal untuk kueri pada tabel Athena.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/lake-formation-athena-security.png)
1. utama menjalankan kueri `SELECT` di Athena.
1. Athena menganalisis kueri dan memeriksa izin Lake Formation untuk melihat apakah utama telah diberikan akses ke kolom tabel dan tabel.
1. Jika utama memiliki akses, Athena meminta mandat dari Lake Formation. Jika prinsipal*tidak*memiliki akses, Athena masalah akses ditolak kesalahan.
1. Lake Formation mengeluarkan kredensil ke Athena untuk digunakan saat membaca data dari Amazon S3 atau katalog, bersama dengan daftar kolom yang diizinkan.
1. Athena menggunakan kredensi sementara Lake Formation untuk menanyakan data dari Amazon S3 atau katalog. Setelah kueri selesai, Athena membuang mandat.
# Pertimbangan dan batasan untuk menanyakan data yang terdaftar di Lake Formation
Pertimbangkan hal berikut saat menggunakan Athena untuk kueri data yang terdaftar di Lake Formation. Untuk informasi tambahan, lihat [Masalah yang diketahui AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/limitations.html) di *Panduan AWS Lake Formation Pengembang*.
**Topics**
+ [Metadata kolom terlihat oleh pengguna tanpa izin data ke kolom dalam beberapa keadaan](#lf-athena-limitations-column-metadata)
+ [Bekerja dengan izin Lake Formation untuk tampilan](#lf-athena-limitations-permissions-to-views)
+ [Dukungan Iceberg DDL](#lf-athena-limitations-iceberg-ddl-operations)
+ [Kontrol akses halus Formasi Danau dan kelompok kerja Athena](#lf-athena-limitations-fine-grained-access-control)
+ [Lokasi hasil kueri Athena di Amazon S3 tidak terdaftar di Lake Formation](#lf-athena-limitations-query-results-location)
+ [Gunakan workgroup Athena untuk membatasi akses ke riwayat kueri](#lf-athena-limitations-use-workgroups-to-limit-access-to-query-history)
+ [CSE-KMS Amazon S3 yang terdaftar di Lake Formation tidak dapat ditanyakan di Athena](#lf-athena-limitations-cse-kms)
+ [Lokasi data yang dipartisi yang terdaftar dengan Lake Formation harus dalam subdirektori tabel](#lf-athena-limitations-partioned-data-locations)
+ [Buat tabel sebagai kueri pilih (CTAS) memerlukan izin tulis Amazon S3](#lf-athena-limitations-ctas-queries)
+ [Izin DESCRIBE diperlukan pada database default](#lf-athena-limitations-describe-default)
## Metadata kolom terlihat oleh pengguna yang tidak sah dalam beberapa keadaan dengan Avro dan kustom SerDe
Otorisasi level kolom Lake Formation mencegah pengguna mengakses data dalam kolom yang pengguna tidak memiliki izin Lake Formation. Namun, dalam situasi tertentu, pengguna dapat mengakses metadata yang menjelaskan semua kolom dalam tabel, termasuk kolom yang mereka tidak memiliki izin untuk data.
Hal ini terjadi ketika metadata kolom disimpan dalam properti tabel untuk tabel menggunakan format penyimpanan Apache Avro atau menggunakan kustom Serializer/Deserializer (SerDe) di mana skema tabel didefinisikan dalam properti tabel bersama dengan definisi. SerDe Saat menggunakan Athena dengan Lake Formation, sebaiknya Anda meninjau isi properti tabel yang Anda daftarkan dengan Lake Formation dan, jika memungkinkan, batasi informasi yang tersimpan di properti tabel untuk mencegah metadata sensitif terlihat oleh pengguna.
## Memahami Lake Formation dan pemandangan
Untuk data yang terdaftar di Lake Formation, pengguna Athena dapat membuat`VIEW`hanya jika mereka memiliki izin Lake Formation ke tabel, kolom, dan sumber lokasi data Amazon S3 tempat`VIEW`didasarkan. Setelah`VIEW`dibuat di Athena, izin Lake Formation dapat diterapkan ke`VIEW`. Izin level kolom tidak tersedia untuk`VIEW`. Pengguna yang memiliki izin Lake Formation ke`VIEW`tetapi tidak memiliki izin ke tabel dan kolom tempat tampilan didasarkan tidak dapat menggunakan`VIEW`untuk kueri data. Namun, pengguna dengan campuran izin ini dapat menggunakan pernyataan seperti`DESCRIBE VIEW`,`SHOW CREATE VIEW`, dan`SHOW COLUMNS`Untuk melihat`VIEW`Metadata. Untuk alasan ini, pastikan untuk menyelaraskan izin Lake Formation untuk setiap`VIEW`dengan izin tabel yang mendasari. Filter sel yang didefinisikan pada tabel tidak berlaku `VIEW` untuk tabel itu. Nama tautan sumber daya harus memiliki nama yang sama dengan sumber daya di akun asal. Ada batasan tambahan saat bekerja dengan tampilan dalam pengaturan lintas akun. Untuk informasi selengkapnya tentang menyiapkan izin untuk tampilan bersama di seluruh akun, lihat[Konfigurasikan akses Katalog Data lintas akun](lf-athena-limitations-cross-account.md).
## Dukungan Iceberg DDL
Athena saat ini tidak mendukung operasi DDL pada tabel Gunung Es yang lokasinya terdaftar di Lake Formation. Mencoba menjalankan kueri DDL pada salah satu tabel Iceberg ini dapat mengembalikan kesalahan akses Amazon S3 yang ditolak atau gagal dengan batas waktu kueri. Operasi DDL pada tabel Iceberg mengharuskan pengguna untuk memiliki akses langsung Amazon S3 ke lokasi tabel Iceberg.
## Kontrol akses halus Formasi Danau dan kelompok kerja Athena
Pengguna di workgroup Athena yang sama dapat melihat data yang telah dikonfigurasi oleh kontrol akses berbutir halus Lake Formation agar dapat diakses oleh workgroup. *Untuk informasi selengkapnya tentang penggunaan kontrol akses berbutir halus di Lake Formation, lihat [Mengelola kontrol akses berbutir halus menggunakan AWS Lake Formation](https://aws.amazon.com/blogs/big-data/manage-fine-grained-access-control-using-aws-lake-formation/) di Blog Big Data.AWS *
## Lokasi hasil kueri Athena di Amazon S3 tidak terdaftar di Lake Formation
Hasil kueri lokasi di Amazon S3 untuk Athena tidak dapat didaftarkan dengan Lake Formation. Izin Lake Formation tidak membatasi akses ke lokasi ini. Kecuali Anda membatasi akses, pengguna Athena dapat mengakses file hasil kueri dan metadata saat mereka tidak memiliki izin Lake Formation untuk data tersebut. Untuk menghindari hal ini, kami sarankan Anda menggunakan grup kerja untuk menentukan lokasi untuk hasil kueri dan menyelaraskan keanggotaan grup kerja dengan Lake Formation izin. Anda kemudian dapat menggunakan kebijakan izin IAM untuk membatasi akses ke lokasi hasil permintaan. Untuk informasi selengkapnya tentang string kueri, lihat [Bekerja dengan hasil kueri dan kueri terbaru](querying.md).
## Gunakan workgroup Athena untuk membatasi akses ke riwayat kueri
Sejarah kueri Athena mengekspos daftar kueri disimpan dan string kueri lengkap. Kecuali Anda menggunakan grup kerja untuk memisahkan akses ke riwayat kueri, pengguna Athena yang tidak berwenang untuk meminta data di Lake Formation dapat melihat string kueri yang dijalankan pada data tersebut, termasuk nama kolom, kriteria pemilihan, dan sebagainya. Kami menyarankan Anda menggunakan grup kerja untuk memisahkan riwayat permintaan, dan menyelaraskan keanggotaan Athena grup kerja dengan izin Lake Formation untuk membatasi akses. Untuk informasi selengkapnya, lihat [Gunakan kelompok kerja untuk mengontrol akses kueri dan biaya](workgroups-manage-queries-control-costs.md).
## Kueri tabel terenkripsi CSE\$1KMS terdaftar dengan Lake Formation
Tabel Open Table Format (OTF) seperti Apache Iceberg yang memiliki karakteristik berikut tidak dapat ditanyakan dengan Athena:
+ Tabel didasarkan pada lokasi data Amazon S3 yang terdaftar di Lake Formation.
+ Objek di Amazon S3 dienkripsi menggunakan enkripsi sisi klien (CSE).
+ Enkripsi menggunakan kunci yang AWS KMS dikelola pelanggan ()`CSE_KMS`.
Untuk menanyakan tabel non-OTF yang dienkripsi dengan `CSE_KMS` kunci), tambahkan blok berikut ke kebijakan AWS KMS kunci yang Anda gunakan untuk enkripsi CSE. **adalah ARN dari AWS KMS kunci yang mengenkripsi data. **adalah ARN dari peran IAM yang mendaftarkan lokasi Amazon S3 di Lake Formation.
```
{
"Sid": "Allow use of the key",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": "kms:Decrypt",
"Resource": "",
"Condition": {
"ArnLike": {
"aws:PrincipalArn": ""
}
}
}
```
## Lokasi data yang dipartisi yang terdaftar dengan Lake Formation harus dalam subdirektori tabel
tabel dipartisi terdaftar dengan Lake Formation harus memiliki data dipartisi dalam direktori yang subdirektori dari tabel di Amazon S3. Misalnya, tabel dengan lokasi`s3://amzn-s3-demo-bucket/mytable`dan partisi`s3://amzn-s3-demo-bucket/mytable/dt=2019-07-11`,`s3://amzn-s3-demo-bucket/mytable/dt=2019-07-12`, dan sebagainya dapat didaftarkan dengan Lake Formation dan bertanya menggunakan Athena. Di sisi lain, tabel dengan lokasi`s3://amzn-s3-demo-bucket/mytable`dan partisi yang terletak di`s3://amzn-s3-demo-bucket/dt=2019-07-11`,`s3://amzn-s3-demo-bucket/dt=2019-07-12`, dan sebagainya, tidak dapat didaftarkan di Lake Formation. Karena partisi tersebut bukan subdirektori dari`s3://amzn-s3-demo-bucket/mytable`, mereka juga tidak dapat dibaca dari Athena.
## Buat tabel sebagai kueri pilih (CTAS) memerlukan izin tulis Amazon S3
Buat Tabel Sebagai Laporan (CTAS) memerlukan akses menulis ke lokasi Amazon S3 tabel. Untuk menjalankan kueri CTAS pada data yang terdaftar dengan Lake Formation, pengguna Athena harus memiliki izin IAM untuk menulis ke tabel lokasi Amazon S3 selain izin Pembentukan Danau yang sesuai untuk membaca lokasi data. Untuk informasi selengkapnya, lihat [Buat tabel dari hasil kueri (CTAS)](ctas.md).
## Izin DESCRIBE diperlukan pada database default
`DESCRIBE`Izin Lake Formation diperlukan pada `default` database sehingga Lake Formation dapat melihatnya. Contoh AWS CLI perintah berikut memberikan `DESCRIBE` izin pada `default` database untuk pengguna `datalake_user1` dalam AWS akun`111122223333`.
```
aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "DESCRIBE" --resource '{ "Database": {"Name":"default"}}
```
Untuk informasi selengkapnya, lihat [DESKRIPSIKAN](https://docs.aws.amazon.com/lake-formation/latest/dg/lf-permissions-reference.html#perm-describe) di *Panduan AWS Lake Formation Pengembang*.
# Konfigurasikan akses Katalog Data lintas akun
Untuk mengakses katalog data di akun lain, Anda dapat menggunakan AWS Glue fitur lintas akun Athena atau mengatur akses lintas akun di Lake Formation.
## Opsi A: Konfigurasikan akses Katalog Data lintas akun di Athena
Anda dapat menggunakan fitur AWS Glue katalog lintas akun Athena untuk mendaftarkan katalog di akun Anda. Kemampuan ini hanya tersedia di mesin Athena versi 2 dan versi yang lebih baru dan terbatas pada penggunaan wilayah yang sama antar akun. Untuk informasi selengkapnya, lihat [Daftarkan Katalog Data dari akun lain](data-sources-glue-cross-account.md).
Jika Katalog Data yang akan dibagikan memiliki kebijakan sumber daya yang dikonfigurasi AWS Glue, katalog tersebut harus diperbarui untuk mengizinkan akses ke AWS Resource Access Manager dan memberikan izin ke Akun B untuk menggunakan Katalog Data Akun A.
Untuk informasi selengkapnya, lihat [Konfigurasikan akses lintas akun ke katalog AWS Glue data](security-iam-cross-account-glue-catalog-access.md).
## Opsi B: Konfigurasikan akses lintas akun di Lake Formation
AWS Lake Formation memungkinkan Anda menggunakan satu akun untuk mengelola Katalog Data pusat. Anda dapat menggunakan fitur ini untuk menerapkan[Akses lintas akun](https://docs.aws.amazon.com/lake-formation/latest/dg/access-control-cross-account.html)untuk metadata Katalog Data dan data yang mendasari. Misalnya, akun pemilik dapat memberikan akun (penerima) lain izin `SELECT` terhadap tabel.
Untuk basis data bersama atau tabel untuk muncul di Athena Kueri Editor, Anda[buat tautan sumber daya](https://docs.aws.amazon.com/lake-formation/latest/dg/resource-links-about.html)di Lake Formation ke basis data bersama atau tabel. Saat akun penerima di Lake Formation menanyakan tabel pemilik, [CloudTrail](https://docs.aws.amazon.com/lake-formation/latest/dg/cross-account-logging.html)menambahkan peristiwa akses data ke log untuk akun penerima dan akun pemilik.
Untuk tampilan bersama, ingatlah hal-hal berikut:
+ Kueri dijalankan pada link sumber daya target, bukan pada tabel sumber atau tampilan, dan kemudian output dibagikan ke akun target.
+ Tidak cukup hanya berbagi pandangan. Semua tabel yang terlibat dalam membuat tampilan harus menjadi bagian dari pangsa lintas akun.
+ Nama tautan sumber daya yang dibuat pada sumber daya bersama harus cocok dengan nama sumber daya di akun pemilik. Jika nama tidak cocok, pesan kesalahan seperti Gagal menganalisis tampilan tersimpan 'awsdatacatalog. *my-lf-resource-link*. *my-lf-view*': baris 3:3: Skema *schema\$1name* tidak ada terjadi.
Untuk informasi selengkapnya tentang akses lintas akun di Lake Formation, lihat sumber daya berikut di *Panduan AWS Lake Formation Pengembang:*
[Akses lintas akun](https://docs.aws.amazon.com/lake-formation/latest/dg/access-control-cross-account.html)
[Cara kerja tautan sumber daya di Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/resource-links-about.html)
[Pencatatan lintas akun CloudTrail ](https://docs.aws.amazon.com/lake-formation/latest/dg/cross-account-logging.html)
# Kelola izin pengguna Lake Formation dan Athena
Lake Formation menjual kredensil untuk menanyakan penyimpanan data Amazon S3 atau katalog federasi yang terdaftar di Lake Formation. Jika sebelumnya Anda menggunakan kebijakan IAM untuk mengizinkan atau menolak izin membaca katalog atau lokasi data di Amazon S3, Anda dapat menggunakan izin Lake Formation sebagai gantinya. Namun, izin IAM lainnya masih diperlukan.
Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik Terbaik IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dalam *Panduan Pengguna IAM*.
Bagian berikut meringkas izin yang diperlukan untuk menggunakan Athena untuk kueri data yang terdaftar di Lake Formation. Untuk informasi selengkapnya, lihat [Keamanan di AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/security.html) dalam *AWS Lake Formation Panduan Developer*.
**Topics**
+ [Izin berbasis identitas untuk Lake Formation dan Athena](#lf-athena-user-permissions-identity-based)
+ [Izin Amazon S3 untuk lokasi hasil kueri Athena](#lf-athena-user-permissions-query-results-locations)
+ [Keanggotaan workgroup Athena ke riwayat kueri](#lf-athena-user-permissions-workgroup-memberships-query-history)
+ [Izin Lake Formation untuk data](#lf-athena-user-permissions-data)
+ [Izin IAM untuk menulis ke lokasi Amazon S3](#lf-athena-user-permissions-s3-write)
+ [Izin untuk data terenkripsi, metadata, dan hasil kueri Athena](#lf-athena-user-permissions-encrypted)
+ [Izin berbasis sumber daya untuk bucket Amazon S3 di akun eksternal (opsional)](#lf-athena-user-permissions-s3-cross-account)
## Izin berbasis identitas untuk Lake Formation dan Athena
Siapa pun yang menggunakan Athena untuk meminta data yang terdaftar dengan Lake Formation harus memiliki kebijakan izin IAM yang mengizinkan tindakan `lakeformation:GetDataAccess`. [AWS kebijakan terkelola: AmazonAthenaFullAccess](security-iam-awsmanpol.md#amazonathenafullaccess-managed-policy) mengizinkan tindakan ini. Jika Anda menggunakan kebijakan inline, pastikan untuk memperbarui kebijakan izin untuk mengizinkan tindakan ini.
Di Lake Formation, *administrator danau data* memiliki izin untuk membuat objek metadata seperti database dan tabel, memberikan izin Lake Formation kepada pengguna lain, dan mendaftarkan lokasi Amazon S3 baru atau katalog data. Untuk mendaftarkan lokasi baru, izin untuk peran terkait layanan untuk Lake Formation diperlukan. *Untuk informasi selengkapnya, lihat [Membuat administrator data lake](https://docs.aws.amazon.com/lake-formation/latest/dg/getting-started-setup.html#create-data-lake-admin) dan [izin peran terkait Layanan untuk Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/service-linked-roles.html#service-linked-role-permissions) di Panduan Pengembang AWS Lake Formation .*
Pengguna Lake Formation dapat menggunakan Athena untuk menanyakan database, tabel, kolom tabel, dan penyimpanan data Amazon S3 yang mendasari atau katalog berdasarkan izin Lake Formation yang diberikan kepadanya oleh administrator data lake. Pengguna tidak dapat membuat basis data atau tabel, atau mendaftarkan lokasi Amazon S3 baru dengan Lake Formation. Untuk informasi selengkapnya, lihat [Membuat pengguna data lake](https://docs.aws.amazon.com/lake-formation/latest/dg/cloudtrail-tut-create-lf-user.html) di *Panduan AWS Lake Formation Pengembang*.
Di Athena, kebijakan izin berbasis identitas, termasuk untuk grup kerja Athena, masih mengontrol akses ke tindakan Athena untuk Amazon Web Services pengguna akun. Selain itu, akses gabungan mungkin disediakan melalui otentikasi berbasis SAML yang tersedia dengan driver Athena. Lihat informasi selengkapnya di [Gunakan kelompok kerja untuk mengontrol akses kueri dan biaya](workgroups-manage-queries-control-costs.md), [Menggunakan kebijakan IAM untuk mengontrol akses workgroup](workgroups-iam-policy.md), dan [Aktifkan akses federasi ke Athena API](access-federation-saml.md).
Untuk informasi selengkapnya, lihat [Memberikan izin Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/lake-formation-permissions.html) di Panduan *AWS Lake Formation Pengembang*.
## Izin Amazon S3 untuk lokasi hasil kueri Athena
Hasil kueri lokasi di Amazon S3 untuk Athena tidak dapat didaftarkan dengan Lake Formation. Izin Lake Formation tidak membatasi akses ke lokasi ini. Kecuali Anda membatasi akses, pengguna Athena dapat mengakses file hasil kueri dan metadata saat mereka tidak memiliki izin Lake Formation untuk data tersebut. Untuk menghindari hal ini, kami sarankan Anda menggunakan grup kerja untuk menentukan lokasi untuk hasil kueri dan menyelaraskan keanggotaan grup kerja dengan Lake Formation izin. Anda kemudian dapat menggunakan kebijakan izin IAM untuk membatasi akses ke lokasi hasil permintaan. Untuk informasi selengkapnya tentang string kueri, lihat [Bekerja dengan hasil kueri dan kueri terbaru](querying.md).
## Keanggotaan workgroup Athena ke riwayat kueri
Sejarah kueri Athena mengekspos daftar kueri disimpan dan string kueri lengkap. Kecuali Anda menggunakan grup kerja untuk memisahkan akses ke riwayat kueri, pengguna Athena yang tidak berwenang untuk meminta data di Lake Formation dapat melihat string kueri yang dijalankan pada data tersebut, termasuk nama kolom, kriteria pemilihan, dan sebagainya. Kami menyarankan Anda menggunakan grup kerja untuk memisahkan riwayat permintaan, dan menyelaraskan keanggotaan Athena grup kerja dengan izin Lake Formation untuk membatasi akses. Untuk informasi selengkapnya, lihat [Gunakan kelompok kerja untuk mengontrol akses kueri dan biaya](workgroups-manage-queries-control-costs.md).
## Izin Lake Formation untuk data
Selain izin dasar untuk menggunakan Lake Formation, pengguna Athena harus memiliki izin Lake Formation untuk mengakses sumber daya yang mereka kueri. Izin ini diberikan dan dikelola oleh administrator Lake Formation. Untuk informasi selengkapnya, lihat [Keamanan dan kontrol akses ke metadata dan data](https://docs.aws.amazon.com/lake-formation/latest/dg/security-data-access.html#security-data-access-permissions) di Panduan *AWS Lake Formation Pengembang*.
## Izin IAM untuk menulis ke lokasi Amazon S3
Lake Formation izin untuk Amazon S3 tidak termasuk kemampuan untuk menulis ke Amazon S3. Buat Tabel Sebagai Laporan (CTAS) memerlukan akses menulis ke lokasi Amazon S3 tabel. Untuk menjalankan kueri CTAS pada data yang terdaftar dengan Lake Formation, pengguna Athena harus memiliki izin IAM untuk menulis ke tabel lokasi Amazon S3 selain izin Pembentukan Danau yang sesuai untuk membaca lokasi data. Untuk informasi selengkapnya, lihat [Buat tabel dari hasil kueri (CTAS)](ctas.md).
## Izin untuk data terenkripsi, metadata, dan hasil kueri Athena
Data sumber yang mendasari di Amazon S3 dan metadata dalam katalog yang terdaftar di Lake Formation dapat dienkripsi. Tidak ada perubahan pada cara Athena menangani enkripsi hasil kueri saat menggunakan Athena untuk kueri data terdaftar dengan Lake Formation. Untuk informasi selengkapnya, lihat [Enkripsi hasil kueri Athena yang disimpan di Amazon S3](encrypting-query-results-stored-in-s3.md).
+ **Mengenkripsi data sumber** — Enkripsi data sumber lokasi data Amazon S3 didukung. Pengguna Athena yang mencari lokasi Amazon S3 terenkripsi yang terdaftar dengan Lake Formation memerlukan izin untuk mengenkripsi dan mendekripsi data. Untuk informasi lebih lanjut tentang persyaratan, lihat [Opsi enkripsi Amazon S3 yang didukung](encryption.md#encryption-options-S3-and-Athena) dan[Izin untuk data terenkripsi di Amazon S3](encryption.md#permissions-for-encrypting-and-decrypting-data).
+ **Mengenkripsi metadata — Mengenkripsi metadata** di didukung. AWS Glue Data Catalog Bagi utama yang menggunakan Athena, kebijakan berbasis identitas harus mengizinkan`"kms:GenerateDataKey"`,`"kms:Decrypt"`, dan`"kms:Encrypt"`Tindakan untuk kunci yang digunakan untuk mengenkripsi metadata. Untuk informasi selengkapnya, lihat [Mengenkripsi Katalog Data Anda](https://docs.aws.amazon.com/glue/latest/dg/encrypt-glue-data-catalog.html) di *Panduan AWS Glue Pengembang* dan. [Konfigurasikan akses dari Athena ke metadata terenkripsi di AWS Glue Data Catalog](access-encrypted-data-glue-data-catalog.md)
## Izin berbasis sumber daya untuk bucket Amazon S3 di akun eksternal (opsional)
Untuk kueri lokasi data Amazon S3 di akun yang berbeda, berbasis sumber daya IAM kebijakan (bucket kebijakan) harus memungkinkan akses ke lokasi. Untuk informasi selengkapnya, lihat [Konfigurasikan akses lintas akun di Athena ke bucket Amazon S3](cross-account-permissions.md).
Untuk informasi tentang mengakses katalog di akun lain, lihat. [Opsi A: Konfigurasikan akses Katalog Data lintas akun di Athena](lf-athena-limitations-cross-account.md#lf-athena-limitations-cross-account-glue)
# Gunakan Lake Formation dan driver JDBC atau ODBC untuk akses federasi ke Athena
Athena JDBC dan ODBC driver mendukung Gabungan berbasis SAML 2.0 dengan Athena menggunakan Okta dan Microsoft Active Directory Federation Services (AD FS) penyedia identitas. Dengan mengintegrasikan Amazon Athena AWS Lake Formation dengan, Anda mengaktifkan otentikasi berbasis SAMP ke Athena dengan kredensi perusahaan. Dengan Lake Formation dan AWS Identity and Access Management (IAM), Anda dapat mempertahankan kontrol akses tingkat kolom berbutir halus atas data yang tersedia untuk pengguna SAMP. Dengan driver Athena JDBC dan ODBC, akses gabungan tersedia untuk alat atau program akses.
Untuk menggunakan Athena untuk mengakses sumber data yang dikendalikan oleh Lake Formation, Anda perlu mengaktifkan federasi berbasis SAMP 2.0 dengan mengonfigurasi peran penyedia identitas (iDP) dan (IAM) Anda. AWS Identity and Access Management Untuk langkah mendetail, lihat [Tutorial: Konfigurasikan akses federasi untuk pengguna Okta ke Athena menggunakan Lake Formation dan JDBC](security-athena-lake-formation-jdbc-okta-tutorial.md).
## Prasyarat
Untuk menggunakan Amazon Athena dan Lake Formation untuk akses gabungan, Anda harus memenuhi persyaratan berikut:
+ Anda mengelola identitas perusahaan menggunakan penyedia identitas berbasis SAML yang ada, seperti Okta atau Microsoft Active Directory Federation Services (AD FS).
+ Anda menggunakan AWS Glue Data Catalog sebagai toko metadata.
+ Anda menentukan dan mengelola izin di Lake Formation untuk mengakses basis data, tabel, dan kolom di AWS Glue Data Catalog. Lihat informasi selengkapnya di [Panduan Developer AWS Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/).
+ [Anda menggunakan versi 2.0.14 atau yang lebih baru dari driver [Athena JDBC atau versi 1.1.3 atau yang lebih baru dari driver](https://docs.aws.amazon.com/athena/latest/ug/connect-with-jdbc.html) Athena ODBC.](connect-with-odbc.md)
## Pertimbangan dan batasan
Saat menggunakan driver Athena JDBC atau ODBC dan Lake Formation untuk mengonfigurasi akses gabungan ke Athena, ingatlah hal-hal berikut:
+ Saat ini, driver Athena JDBC dan driver ODBC mendukung Okta, Microsoft Active Directory Federation Services (AD FS), dan penyedia identitas Azure AD. Meskipun driver Athena JDBC memiliki kelas SAMP generik yang dapat diperluas untuk menggunakan penyedia identitas lain, dukungan untuk ekstensi khusus yang memungkinkan penyedia identitas lain () IdPs untuk digunakan dengan Athena mungkin terbatas.
+ Akses federasi menggunakan driver JDBC dan ODBC tidak kompatibel dengan fitur propagasi identitas terpercaya IAM Identity Center.
+ Saat ini, Anda tidak dapat menggunakan konsol Athena untuk mengonfigurasi dukungan untuk penggunaan IdP dan SAML dengan Athena. Untuk mengonfigurasi dukungan ini, Anda menggunakan penyedia identitas pihak ketiga, Lake Formation dan IAM konsol manajemen, dan JDBC atau ODBC driver klien.
+ Anda harus memahami[Spesifikasi SAML 2.0](https://www.oasis-open.org/standards#samlv2.0)dan cara kerjanya dengan penyedia identitas Anda sebelum mengonfigurasi penyedia identitas dan SAML untuk digunakan dengan Lake Formation dan Athena.
+ Penyedia SAMP dan driver Athena JDBC dan ODBC disediakan oleh pihak ketiga, sehingga dukungan AWS melalui masalah yang terkait dengan penggunaannya mungkin terbatas.
**Topics**
+ [Prasyarat](#security-athena-lake-formation-jdbc-prerequisites)
+ [Pertimbangan dan batasan](#security-athena-lake-formation-jdbc-considerations-and-limitations)
+ [Tutorial: Konfigurasikan akses federasi untuk pengguna Okta ke Athena menggunakan Lake Formation dan JDBC](security-athena-lake-formation-jdbc-okta-tutorial.md)
# Tutorial: Konfigurasikan akses federasi untuk pengguna Okta ke Athena menggunakan Lake Formation dan JDBC
Tutorial ini menunjukkan kepada Anda cara mengkonfigurasi Okta, AWS Lake Formation, AWS Identity and Access Management izin, dan driver Athena JDBC untuk mengaktifkan penggunaan federasi Athena berbasis SAMP. Lake Formation menyediakan kontrol akses berbutir halus atas data yang tersedia di Athena untuk pengguna berbasis SAML. Untuk mengatur konfigurasi ini, tutorial menggunakan konsol pengembang Okta, konsol AWS IAM dan Lake Formation, dan alat SQL. Workbench/J
**Prasyarat**
Tutorial ini mengasumsikan bahwa Anda telah melakukan hal berikut:
+ Membuat akun Amazon Web Services. Untuk membuat akun, kunjungi[Amazon Web Services](https://aws.amazon.com/).
+ [Menyiapkan lokasi hasil kueri](query-results-specify-location.md)para Athena en Amazon S3.
+ [Mendaftarkan lokasi bucket data Amazon S3](https://docs.aws.amazon.com/lake-formation/latest/dg/register-data-lake.html)dengan Lake Formation.
+ Ditetapkan sebuah[basis data](https://docs.aws.amazon.com/glue/latest/dg/define-database.html)dan[tabel](https://docs.aws.amazon.com/glue/latest/dg/tables-described.html)pada[AWS Glue Katalog data](https://docs.aws.amazon.com/glue/latest/dg/what-is-glue.html)Yang menunjuk ke data Anda di Amazon S3.
+ Jika Anda belum mendefinisikan tabel, [jalankan AWS Glue crawler](https://docs.aws.amazon.com/glue/latest/dg/add-crawler.html) atau [gunakan Athena untuk menentukan database dan satu atau beberapa](work-with-data.md) tabel untuk data yang ingin Anda akses.
+ Tutorial ini menggunakan tabel berdasarkan [dataset perjalanan taksi NYC](https://registry.opendata.aws/nyc-tlc-trip-records-pds/) yang tersedia di [Registry data terbuka](https://registry.opendata.aws/). AWS Tutorial menggunakan nama database`tripdb`dan nama tabel`nyctaxi`.
**Topics**
+ [Langkah 1: Buat akun Okta](#security-athena-lake-formation-jdbc-okta-tutorial-step-1-create-an-okta-account)
+ [Langkah 2: Tambahkan pengguna dan grup ke Okta](#security-athena-lake-formation-jdbc-okta-tutorial-step-2-set-up-an-okta-application-for-saml-authentication)
+ [Langkah 3: Siapkan aplikasi Okta untuk otentikasi SAFL](#security-athena-lake-formation-jdbc-okta-tutorial-step-3-set-up-an-okta-application-for-saml-authentication)
+ [Langkah 4: Buat Penyedia Identitas AWS SALL dan Lake Formation mengakses peran IAM](#security-athena-lake-formation-jdbc-okta-tutorial-step-4-create-an-aws-saml-identity-provider-and-lake-formation-access-IAM-role)
+ [Langkah 5: Tambahkan peran IAM dan Penyedia Identitas SALL ke aplikasi Okta](#security-athena-lake-formation-jdbc-okta-tutorial-step-5-update-the-okta-application-with-the-aws-role-and-saml-identity-provider)
+ [Langkah 6: Berikan izin pengguna dan grup melalui AWS Lake Formation](#security-athena-lake-formation-jdbc-okta-tutorial-step-6-grant-permissions-through-aws-lake-formation)
+ [Langkah 7: Verifikasi akses melalui klien Athena JDBC](#security-athena-lake-formation-jdbc-okta-tutorial-step-7-verify-access-through-athena-jdbc-client)
+ [Kesimpulan](#security-athena-lake-formation-jdbc-okta-tutorial-conclusion)
+ [Sumber daya terkait](#security-athena-lake-formation-jdbc-okta-tutorial-related-resources)
## Langkah 1: Buat akun Okta
Tutorial ini menggunakan Okta sebagai penyedia identitas berbasis SAML. Jika Anda belum memiliki akun Okta, Anda dapat membuat akun gratis. Akun Okta diperlukan agar Anda dapat membuat aplikasi Okta untuk otentikasi SAML.
**Untuk membuat akun**
1. Untuk menggunakan Okta, navigasikan ke[Halaman pendaftaran developer Okta](https://developer.okta.com/signup/)dan membuat akun percobaan Okta gratis. Layanan Edisi Developer tidak dipungut biaya hingga batas yang ditentukan oleh Okta di[developer.okta.com/pricing](https://developer.okta.com/pricing).
1. Saat Anda menerima email aktivasi, aktifkan akun Anda.
Nama domain Okta akan diberikan kepada Anda. Simpan nama domain untuk referensi. Kemudian, Anda menggunakan nama domain (**) dalam string JDBC yang terhubung ke Athena.
## Langkah 2: Tambahkan pengguna dan grup ke Okta
Pada langkah ini, Anda menggunakan konsol Okta untuk melakukan tugas berikut:
+ Buat dua pengguna Okta.
+ Buat dua grup Okta.
+ Tambahkan satu pengguna Okta ke setiap grup Okta.
**Untuk menambahkan pengguna ke Okta**
1. Setelah Anda mengaktifkan akun Okta Anda, masuk sebagai pengguna administratif ke domain Okta yang ditetapkan.
1. Di panel navigasi kiri, pilih**Direktori**, lalu pilih**Orang**.
1. Pilih**Tambahkan Orang**untuk menambahkan pengguna baru yang akan mengakses Athena melalui driver JDBC.
![\[PilihTambahkan Orang.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-3.png)
1. Di**Tambahkan Orang**Di kotak dialog, masukkan informasi yang diperlukan.
+ Masukkan nilai untuk**Nama depan**dan**Nama terakhir**. Tutorial ini menggunakan *athena-okta-user*.
+ Masukkan**Nama pengguna**dan**Email utama**. Tutorial ini menggunakan *athena-okta-user@anycompany.com*.
+ Untuk**Kata Sandi**Pilih**Ditetapkan oleh admin**, dan kemudian memberikan sandi. Tutorial ini membersihkan pilihan untuk**Pengguna harus mengubah kata sandi pada login pertama**; persyaratan keamanan Anda mungkin berbeda.
![\[Menambahkan pengguna ke aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4.png)
1. Pilih**Simpan dan Tambah Lainnya**.
1. Masukkan informasi untuk pengguna lain. Contoh ini menambahkan pengguna analis bisnis*athena-ba-user@anycompany.com*.
![\[Menambahkan pengguna ke aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4a.png)
1. Pilih **Simpan**.
Dalam prosedur berikut, Anda menyediakan akses untuk dua grup Okta melalui driver Athena JDBC dengan menambahkan grup “Analis Bisnis” dan grup “Developer”.
**Untuk menambahkan grup Okta**
1. Dalam panel navigasi, pilih **Groups** lalu pilih **Create New Group**.
1. Pada**Grup**, pilih**Tambah Grup**.
![\[Pilih Tambahkan grup kunci.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4c.png)
1. Di**Tambah Grup**Di kotak dialog, masukkan informasi yang diperlukan.
+ Untuk **Nama**, masukkan *lf-business-analyst*.
+ Untuk **Deskripsi Grup**, masukkan*Business Analysts*.
![\[Menambahkan grup Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4d.png)
1. Pilih **Tambahkan grup kunci**.
1. Pada**Grup**, pilih**Tambah Grup**Sekali lagi. Kali ini Anda akan memasukkan informasi untuk grup Developer.
1. Masukkan informasi yang diperlukan.
+ Untuk **Nama**, masukkan *lf-developer*.
+ Untuk **Deskripsi Grup**, masukkan*Developers*.
1. Pilih **Tambahkan grup kunci**.
Setelah Anda memiliki dua pengguna dan dua grup, Anda siap untuk menambahkan pengguna ke setiap grup.
**Untuk menambahkan pengguna ke grup**
1. Pada**Grup**, pilih**Pengembang lf**Grup yang baru saja Anda buat. Anda akan menambahkan salah satu pengguna Okta yang Anda buat sebagai developer ke grup ini.
![\[PilihPengembang lf.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4f.png)
1. Pilih**Mengelola orang**.
![\[PilihMengelola orang.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4g.png)
1. Dari daftar **Bukan Anggota**, pilih **athena-okta-user**.
![\[Pilih pengguna untuk ditambahkan ke daftar anggota.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4h.png)
Entri untuk pengguna bergerak dari**Bukan anggota**daftar di sebelah kiri ke**Anggota**Daftar di sebelah kanan.
![\[Pengguna Okta ditambahkan ke grup Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4i.png)
1. Pilih **Simpan**.
1. Pilih**Kembali ke Grup**, atau pilih**Direktori**, lalu pilih**Grup**.
1. Pilih **lf-business-analyst**grup.
1. Pilih**Mengelola orang**.
1. Tambahkan **athena-ba-user**ke daftar **Anggota **lf-business-analyst****grup, lalu pilih **Simpan**.
1. Pilih**Kembali ke Grup**, atau pilih**Direktori**,**Grup**.
Parameter**Grup**sekarang menunjukkan bahwa setiap grup memiliki satu pengguna Okta.
![\[Satu pengguna telah ditambahkan ke setiap grup Okta di konsol Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-4j.png)
## Langkah 3: Siapkan aplikasi Okta untuk otentikasi SAFL
Pada langkah ini, Anda menggunakan konsol developer Okta untuk melakukan tugas berikut:
+ Tambahkan aplikasi SAFL untuk digunakan dengan AWS.
+ Tetapkan aplikasi ke pengguna Okta.
+ Menetapkan aplikasi ke grup Okta.
+ Unduh metadata penyedia identitas yang dihasilkan untuk digunakan nanti dengan AWS.
**Cara menambahkan aplikasi untuk otentikasi SAML**
1. Di panel navigasi Okta, pilih**Aplikasi**,**Aplikasi**sehingga Anda dapat mengonfigurasi aplikasi Okta untuk otentikasi SAML ke Athena.
1. Klik**Jelajahi Katalog Aplikasi**.
1. Dalam kotak pencarian, masukkan **Redshift**.
1. Pilih**Redshift Amazon Web Services**. Aplikasi Okta dalam tutorial ini menggunakan integrasi SAML yang ada untuk Amazon Redshift.
![\[PilihRedshift Amazon Web Services.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-7.png)
1. Pada**Redshift Amazon Web Services**, pilih**Tambahkan**Untuk membuat aplikasi berbasis SAML untuk Amazon Redshift.
![\[PilihTambahkanUntuk membuat aplikasi berbasis SAML.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-8.png)
1. Untuk**Aplikasi label**, masukkan`Athena-LakeFormation-Okta`, lalu pilih**Selesai**.
![\[Masukkan nama untuk aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-9.png)
Sekarang setelah Anda membuat aplikasi Okta, Anda dapat menetapkannya ke pengguna dan grup yang Anda buat.
**Menetapkan aplikasi ke pengguna dan grup**
1. Pada halaman **Aplikasi**, pilih aplikasi **Athena- LakeFormation -Okta**.
1. Pada**Penugasan**tab, pilih**Tetapkan**,**Tugaskan ke Orang**.
![\[PilihTetapkan,Tugaskan ke Orang.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-10.png)
1. Di kotak dialog **Tetapkan Athena-LakeFormation-Okta ke Orang**, temukan **athena-okta-user**pengguna yang Anda buat sebelumnya.
1. Pilih**Tetapkan**untuk menetapkan pengguna ke aplikasi.
![\[PilihTetapkan.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-11.png)
1. Pilih**Simpan dan Kembali**.
1. Pilih**Selesai**.
1. **Pada tab **Tugas** untuk aplikasi **Athena LakeFormation -** -Okta, **pilih** Tetapkan, Tetapkan ke Grup.**
1. **Untuk **lf-business-analyst**, pilih **Tetapkan untuk menetapkan** aplikasi **Athena- LakeFormation -Okta** ke **lf-business-analyst**grup, lalu pilih Selesai.**
![\[Menetapkan aplikasi Okta ke grup pengguna Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-12b.png)
Grup muncul dalam daftar grup untuk aplikasi.
![\[Aplikasi Okta ditugaskan ke grup Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-12c.png)
Sekarang Anda siap mengunduh metadata aplikasi penyedia identitas untuk digunakan dengan AWS.
**Untuk mengunduh metadata aplikasi**
1. Pilih aplikasi Okta**Tanda Pada**tab, dan kemudian klik kanan**Metadata penyedia identitas**.
![\[Klik kananMetadata penyedia identitas.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-13.png)
1. Pilih**Simpan Tautan Sebagai**untuk menyimpan metadata penyedia identitas, yang dalam format XML, ke file. Berikan nama yang Anda kenali (misalnya,`Athena-LakeFormation-idp-metadata.xml`).
![\[Menyimpan metadata penyedia identitas.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-14.png)
## Langkah 4: Buat Penyedia Identitas AWS SALL dan Lake Formation mengakses peran IAM
Pada langkah ini, Anda menggunakan konsol AWS Identity and Access Management (IAM) untuk melakukan tugas-tugas berikut:
+ Buat penyedia identitas untuk AWS.
+ Buat IAM role untuk akses Lake Formation.
+ Tambahkan kebijakan AmazonAthenaFullAccess terkelola ke peran.
+ Tambahkan kebijakan untuk Lake Formation dan AWS Glue peran.
+ Menambahkan kebijakan untuk Athena hasil kueri untuk peran.
**Untuk membuat penyedia identitas AWS SAFL**
1. Masuk ke **konsol** **akun Amazon Web Services sebagai administrator akun** **Amazon Web Services** dan navigasikan ke konsol **IAM** ([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/)).
1. Di panel navigasi, pilih **Penyedia identitas**, lalu klik **Tambah penyedia**.
1. Pada layar **Konfigurasi penyedia**, masukkan informasi berikut:
+ Untuk **tipe Provider**, pilih **SAFL**.
+ Untuk **nama Penyedia**, masukkan`AthenaLakeFormationOkta`.
+ Untuk **dokumen Metadata**, gunakan opsi **Pilih file untuk mengunggah file** XMLmetadata penyedia identitas (iDP) yang Anda unduh.
1. Pilih **Tambah penyedia**.
Selanjutnya, Anda membuat peran IAM untuk AWS Lake Formation akses. Anda menambahkan dua inline kebijakan untuk peran. Satu kebijakan memberikan izin untuk mengakses Lake Formation dan. AWS Glue APIs Kebijakan lainnya menyediakan akses ke Athena dan lokasi hasil kueri Athena di Amazon S3.
**Untuk membuat peran IAM untuk akses AWS Lake Formation**
1. Di panel navigasi konsol IAM, pilih **Peran**, dan lalu pilih **Buat peran**.
1. Pada halaman **Buat peran**, lakukan langkah-langkah berikut:
![\[Mengonfigurasi IAM role untuk menggunakan SAML 2.0.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-20.png)
1. Untuk **Pilih jenis entitas terpercaya**, pilih **Federasi SAML 2.0.**
1. Untuk **penyedia SAFL**, pilih **AthenaLakeFormationOkta**.
1. Untuk **penyedia SAFL**, pilih opsi **Izinkan programatik dan Konsol Manajemen AWS akses**.
1. Pilih **Berikutnya: Izin**.
1. Pada**Melampirkan kebijakan Izin**halaman, untuk**Kebijakan filter**, masukkan**Athena**.
1. Pilih kebijakan **AmazonAthenaFullAccess**terkelola, lalu pilih **Berikutnya: Tag**.
![\[Melampirkan kebijakan yang AmazonAthenaFullAccessdikelola ke peran IAM.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-21.png)
1. Pada halaman **Tambahkan tanda**, pilih **Berikutnya:**
1. Pada halaman **Tinjauan**, untuk **nama Peran**, masukkan nama untuk peran (misalnya,*Athena-LakeFormation-OktaRole*), lalu pilih **Buat peran**.
![\[Masukkan Nama IAM role.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-22.png)
Selanjutnya, Anda menambahkan kebijakan sebaris yang mengizinkan akses ke Lake Formation AWS Glue APIs, dan hasil kueri Athena di Amazon S3.
Setiap kali Anda menggunakan kebijakan IAM, pastikan bahwa Anda mengikuti praktik terbaik IAM. Untuk informasi selengkapnya tentang administrator, lihat [Praktik terbaik keamanan di IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) dalam *Panduan Pengguna IAM*.
**Untuk menambahkan kebijakan inline ke peran Lake Formation dan AWS Glue**
1. Dari daftar peran di konsol IAM, pilih opsi baru dibuat`Athena-LakeFormation-OktaRole`.
1. Pada**Ringkasan**halaman untuk peran, pada**Izin**tab, pilih**Tambahkan kebijakan inline**.
1. Di halaman **Buat kebijakan**, pilih **JSON**.
1. Tambahkan kebijakan inline seperti berikut ini yang menyediakan akses ke Lake Formation dan file. AWS Glue APIs
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": {
"Effect": "Allow",
"Action": [
"lakeformation:GetDataAccess",
"glue:GetTable",
"glue:GetTables",
"glue:GetDatabase",
"glue:GetDatabases",
"glue:CreateDatabase",
"glue:GetUserDefinedFunction",
"glue:GetUserDefinedFunctions"
],
"Resource": "*"
}
}
```
------
1. Pilih **Tinjau kebijakan**.
1. Untuk **Nama**, masukkan nama untuk kebijakan (misalnya, **LakeFormationGlueInlinePolicy**).
1. Pilih **Buat kebijakan**.
**Untuk menambahkan kebijakan inline untuk peran untuk lokasi hasil permintaan Athena**
1. Pada**Ringkasan**halaman untuk`Athena-LakeFormation-OktaRole`peran, pada**Izin**tab, pilih**Tambahkan kebijakan inline**.
1. Di halaman **Buat kebijakan**, pilih tab JSON.
1. Tambahkan kebijakan inline seperti berikut yang memungkinkan akses peran ke lokasi hasil permintaan Athena. Ganti ** placeholder dalam contoh dengan nama bucket Amazon S3 Anda.
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Sid": "AthenaQueryResultsPermissionsForS3",
"Effect": "Allow",
"Action": [
"s3:ListBucket",
"s3:PutObject",
"s3:GetObject"
],
"Resource": [
"arn:aws:s3:::",
"arn:aws:s3:::/*"
]
}
]
}
```
------
1. Pilih **Tinjau kebijakan**.
1. Untuk **Nama**, masukkan nama untuk kebijakan (misalnya, **AthenaQueryResultsInlinePolicy**).
1. Pilih **Buat kebijakan**.
Selanjutnya, Anda menyalin ARN peran akses Lake Formation dan ARN penyedia SAML yang Anda buat. Ini diperlukan saat Anda mengonfigurasi aplikasi Okta SAML di bagian berikutnya dari tutorial.
**Untuk menyalin peran ARN dan SAML identitas penyedia ARN**
1. Di konsol IAM, pada**Ringkasan**halaman untuk`Athena-LakeFormation-OktaRole`peran, pilih**Salin ke clipboard**ikon di samping**ARN ARN**. ARN memiliki format berikut:
```
arn:aws:iam:::role/Athena-LakeFormation-OktaRole
```
1. Simpan ARN penuh aman untuk referensi nanti.
1. Di panel navigasi konsol IAM, pilih**Penyedia identitas**.
1. Pilih **AthenaLakeFormationOkta**penyedia.
1. Pada**Ringkasan**, pilih**Salin ke clipboard**ikon di samping**Penyedia ARN**. Outputnya akan terlihat seperti berikut:
```
arn:aws:iam:::saml-provider/AthenaLakeFormationOkta
```
1. Simpan ARN penuh aman untuk referensi nanti.
## Langkah 5: Tambahkan peran IAM dan Penyedia Identitas SALL ke aplikasi Okta
Pada langkah ini, Anda kembali ke konsol developer Okta dan melakukan tugas berikut:
+ Tambahkan pengguna dan grup atribut URL Lake Formation ke aplikasi Okta.
+ Menambahkan ARN untuk penyedia identitas dan ARN untuk IAM role untuk aplikasi Okta.
+ Salin ID aplikasi Okta. ID aplikasi Okta diperlukan dalam profil JDBC yang terhubung ke Athena.
**Untuk menambahkan pengguna dan grup atribut URL Lake Formation ke aplikasi Okta**
1. Masuk ke konsol developer Okta.
1. Pilih**Aplikasi**tab, dan kemudian pilih`Athena-LakeFormation-Okta`aplikasi.
1. Pilih pada**Tanda Pada**tab untuk aplikasi, dan kemudian pilih**Mengedit**.
![\[Edit aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-24.png)
1. Pilih**Atribut (opsional)**untuk memperluasnya.
![\[Menambahkan pengguna Lake Formation URL atribut ke aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-25.png)
1. Untuk**Pernyataan atribut (opsional)**, tambahkan atribut berikut:
+ Untuk **Nama**, masukkan **https://lakeformation.amazon.com/SAML/Attributes/Username**.
+ Untuk **Nilai**, masukkan **user.login**.
1. Di bawah**Kelompok Pernyataan Atribut (opsional)**, tambahkan atribut berikut:
+ Untuk **Nama**, masukkan **https://lakeformation.amazon.com/SAML/Attributes/Groups**.
+ Untuk**Format nama**, masukkan**Basic**
+ Untuk**Filter**Pilih**Cocok regex**, dan kemudian masukkan**.\$1**di kotak filter.
![\[Menambahkan grup Lake Formation URL atribut untuk aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-25a.png)
1. Gulir ke bawah ke bagian **Pengaturan Masuk Lanjutan**, di mana Anda akan menambahkan penyedia identitas dan Peran IAM ARNs ke aplikasi Okta.
**Untuk menambahkan ARNs untuk penyedia identitas dan peran IAM ke aplikasi Okta**
1. Untuk **Idp ARN dan ARN Peran**, masukkan penyedia AWS identitas ARN dan peran ARN sebagai nilai yang dipisahkan koma dalam format,. ** ** String gabungan akan terlihat seperti berikut:
```
arn:aws:iam:::saml-provider/AthenaLakeFormationOkta,arn:aws:iam:::role/Athena-LakeFormation-OktaRole
```
![\[Memasuki ARN penyedia identitas dan IAM role ARN dalam aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-26.png)
1. Pilih **Simpan**.
Selanjutnya, Anda menyalin ID aplikasi Okta. Anda akan membutuhkan ini nanti untuk string JDBC yang menghubungkan ke Athena.
**Untuk mencari dan menyalin ID aplikasi Okta**
1. Pilih**Umum**tab aplikasi Okta.
![\[PilihUmumtab aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-27.png)
1. Gulir ke bawah ke**Tautan Sematkan Aplikasi**Bagian.
1. Dari**Tautan Sematkan**, salin dan simpan dengan aman bagian ID aplikasi Okta dari URL. ID aplikasi Okta adalah bagian dari URL setelah`amazon_aws_redshift/`tapi sebelum garis miring berikutnya. Misalnya, jika URL berisi`amazon_aws_redshift/aaa/bbb`, ID aplikasi adalah`aaa`.
![\[Salin ID dari aplikasi Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-28.png)
**catatan**
Tautan sematan tidak dapat digunakan untuk masuk langsung ke konsol Athena untuk melihat database. Izin Lake Formation untuk pengguna dan grup SALL hanya dikenali jika Anda menggunakan driver JDBC atau ODBC untuk mengirimkan kueri ke Athena. Untuk melihat database, Anda dapat menggunakan Workbench/J alat SQL, yang menggunakan driver JDBC untuk terhubung ke Athena. Workbench/J Alat SQL tercakup dalam[Langkah 7: Verifikasi akses melalui klien Athena JDBC](#security-athena-lake-formation-jdbc-okta-tutorial-step-7-verify-access-through-athena-jdbc-client).
## Langkah 6: Berikan izin pengguna dan grup melalui AWS Lake Formation
Pada langkah ini, Anda menggunakan konsol Lake Formation untuk memberikan izin pada tabel untuk pengguna dan grup SAML. Anda harus melakukan langkah-langkah berikut:
+ Tentukan ARN dari pengguna Okta SAML dan izin pengguna terkait di atas tabel.
+ Tentukan ARN dari grup Okta SAML dan izin grup terkait di atas tabel.
+ Verifikasi izin yang Anda berikan.
**Untuk memberikan izin di Lake Formation untuk pengguna Okta**
1. Masuk sebagai administrator danau data ke Konsol Manajemen AWS.
1. Buka konsol Lake Formation di [https://console.aws.amazon.com/lakeformation/](https://console.aws.amazon.com/lakeformation/).
1. Dari panel navigasi, pilih**Tabel**, kemudian pilih tabel yang ingin Anda berikan izin untuk. Tutorial ini menggunakan`nyctaxi`tabel dari`tripdb`basis data.
![\[Pilih tabel yang ingin Anda berikan izin untuk.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-29.png)
1. Dari**Tindakan**Pilih**Izin**.
![\[PilihIzin.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-30.png)
1. Di**Berikan izin**, masukkan informasi berikut:
1. Di bawah **pengguna dan grup SAFL dan Amazon Quick**, masukkan ARN pengguna OKTA SALL dalam format berikut:
```
arn:aws:iam:::saml-provider/AthenaLakeFormationOkta:user/@
```
1. Untuk**Kolom**, untuk**Pilih jenis filter**, dan opsional memilih**Sertakan kolom**atau**Mengecualikan kolom**.
1. Gunakan**Pilih satu kolom atau lebih**di bawah filter untuk menentukan kolom yang ingin Anda sertakan atau kecualikan untuk atau dari pengguna.
1. Untuk**Izin tabel**Pilih**Pilih**. Tutorial ini hanya memberikan`SELECT`; kebutuhan Anda mungkin berbeda.
![\[Pemberian tabel dan kolom-level izin untuk pengguna Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-31.png)
1. Pilih**Izin**.
Sekarang Anda melakukan langkah serupa untuk grup Okta.
**Untuk memberikan izin di Lake Formation untuk grup Okta**
1. Pada**Tabel**konsol Lake Formation, pastikan bahwa**nyctaxi**tabel masih dipilih.
1. Dari**Tindakan**Pilih**Izin**.
1. Di**Berikan izin**, masukkan informasi berikut:
1. Di bawah **pengguna dan grup SAFL dan Amazon Quick**, masukkan ARN grup OKTA SALL dalam format berikut:
```
arn:aws:iam:::saml-provider/AthenaLakeFormationOkta:group/lf-business-analyst
```
1. Untuk**Kolom**,**Pilih jenis filter**Pilih**Sertakan kolom**.
1. Untuk**Pilih satu kolom atau lebih**, pilih tiga kolom pertama dari tabel.
1. Untuk**Izin tabel**, pilih izin akses khusus untuk diberikan. Tutorial ini hanya memberikan`SELECT`; kebutuhan Anda mungkin berbeda.
![\[Memberikan izin tabel untuk grup Okta.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-31b.png)
1. Pilih**Izin**.
1. Untuk memverifikasi izin yang Anda berikan, pilih**Tindakan**,**Lihat izin**.
![\[PilihLihat izinuntuk memverifikasi izin yang diberikan.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-32.png)
Halaman **izin data** untuk `nyctaxi` tabel menunjukkan izin untuk **athena-okta-user**dan grup. **lf-business-analyst**
![\[Melihat izin yang diberikan kepada pengguna Okta dan grup.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-33.png)
## Langkah 7: Verifikasi akses melalui klien Athena JDBC
Sekarang Anda siap untuk menggunakan klien JDBC untuk melakukan koneksi tes ke Athena sebagai pengguna Okta SAML.
Di bagian ini, Anda harus melakukan tugas berikut:
+ Mempersiapkan klien uji — Download driver Athena JDBC, menginstal SQL Workbench, dan menambahkan driver untuk Workbench. Tutorial ini menggunakan SQL Workbench untuk mengakses Athena melalui otentikasi Okta dan untuk memverifikasi izin Lake Formation.
+ NoSQL Workbench
+ Buat koneksi untuk pengguna Athena Okta.
+ Jalankan kueri tes sebagai pengguna Athena Okta.
+ Membuat dan menguji koneksi untuk pengguna analis bisnis.
+ Di konsol Okta, tambahkan pengguna analis bisnis ke grup developer.
+ Di konsol Lake Formation, konfigurasikan izin tabel untuk grup developer.
+ Dalam SQL Workbench, jalankan kueri tes sebagai pengguna analis bisnis dan memverifikasi bagaimana perubahan izin mempengaruhi hasil.
**Untuk menyiapkan klien uji**
1. Unduh dan ekstrak driver Athena JDBC yang kompatibel dengan Lake Formation (2.0.14 atau versi yang lebih baru) dari[Connect ke Amazon Athena dengan JDBC](connect-with-jdbc.md).
1. Unduh dan instal[SQL Workbench /J](https://www.sql-workbench.eu/index.html)Alat kueri SQL, tersedia di bawah lisensi Apache 2.0 yang dimodifikasi.
1. Dalam SQL Workbench, pilih**Berkas**, lalu pilih**Mengelola driver**.
![\[PilihMengelola driver.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-1.png)
1. Di**Mengelola driver**, lakukan langkah-langkah berikut:
1. Pilih ikon pemandu baru.
1. Untuk **Nama**, masukkan **Athena**.
1. Untuk**Perpustakaan**, browse ke dan pilih Simba Athena JDBC`.jar`yang baru saja diunduh.
1. Pilih **OK**.
![\[Menambahkan driver Athena JDBC untuk SQL Workbench.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-2.png)
Anda sekarang siap untuk membuat dan menguji koneksi untuk pengguna Athena Okta.
**Untuk membuat koneksi untuk pengguna Okta**
1. Pilih**Berkas**,**Connect jendela**.
![\[PilihConnect jendela.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-3.png)
1. Di**Profil koneksi**kotak dialog, membuat koneksi dengan memasukkan informasi berikut:
+ Di Nama , masukkan**Athena\$1Okta\$1User\$1Connection**
+ Untuk**Driver**, pilih Sopir Simba Athena JDBC.
+ Untuk **Source**, lakukan salah satu hal berikut:
+ Untuk menggunakan URL koneksi, masukkan string koneksi satu baris. Contoh berikut menambahkan jeda baris untuk dibaca.
```
jdbc:awsathena://AwsRegion=region-id;
S3OutputLocation=s3://amzn-s3-demo-bucket/athena_results;
AwsCredentialsProviderClass=com.simba.athena.iamsupport.plugin.OktaCredentialsProvider;
user=athena-okta-user@anycompany.com;
password=password;
idp_host=okta-idp-domain;
App_ID=okta-app-id;
SSL_Insecure=true;
LakeFormationEnabled=true;
```
+ Untuk menggunakan URL AWS berbasis profil, lakukan langkah-langkah berikut:
1. Konfigurasikan [AWS profil](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-profiles.html) yang memiliki file AWS kredensial seperti contoh berikut.
```
[athena_lf_dev]
plugin_name=com.simba.athena.iamsupport.plugin.OktaCredentialsProvider
idp_host=okta-idp-domain
app_id=okta-app-id
uid=athena-okta-user@anycompany.com
pwd=password
```
1. Untuk**URL**, masukkan string koneksi single-line seperti contoh berikut. Contoh menambahkan jeda baris untuk dibaca.
```
jdbc:awsathena://AwsRegion=region-id;
S3OutputLocation=s3://amzn-s3-demo-bucket/athena_results;
profile=athena_lf_dev;
SSL_Insecure=true;
LakeFormationEnabled=true;
```
Perhatikan bahwa contoh-contoh ini adalah representasi dasar dari URL yang diperlukan untuk terhubung ke Athena. Untuk daftar lengkap parameter yang didukung di URL, lihat dokumentasi [JDBC](connect-with-jdbc.md).
Gambar berikut menunjukkan profil koneksi SQL Workbench yang menggunakan URL koneksi.
![\[Profil koneksi di SQL Workbench.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-4.png)
Sekarang bahwa Anda telah membuat koneksi untuk pengguna Okta, Anda dapat mengujinya dengan mengambil beberapa data.
**Untuk menguji koneksi untuk pengguna Okta**
1. Pilih**Uji**, dan kemudian verifikasi bahwa koneksi berhasil.
1. Dari SQL Workbench**Pernyataan**, jalankan SQL berikut`DESCRIBE`Perintah. Verifikasi bahwa semua kolom ditampilkan.
```
DESCRIBE "tripdb"."nyctaxi"
```
![\[Semua kolom ditampilkan.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-5.png)
1. Dari SQL Workbench**Pernyataan**, jalankan SQL berikut`SELECT`Perintah. Verifikasi bahwa semua kolom ditampilkan.
```
SELECT * FROM tripdb.nyctaxi LIMIT 5
```
![\[Verifikasi bahwa semua kolom ditampilkan.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-6.png)
Selanjutnya, Anda memverifikasi bahwa **athena-ba-user**, sebagai anggota **lf-business-analyst**grup, hanya memiliki akses ke tiga kolom pertama dari tabel yang Anda tentukan sebelumnya di Lake Formation.
**Untuk memverifikasi akses untuk **athena-ba-user****
1. Dalam SQL Workbench, dalam**Profil koneksi**kotak dialog, membuat profil koneksi lain.
+ Untuk nama profil koneksi, masukkan** Athena\$1Okta\$1Group\$1Connection**.
+ Untuk**Driver**, pilih driver Simba Athena JDBC.
+ Untuk **Source**, lakukan salah satu hal berikut:
+ Untuk menggunakan URL koneksi, masukkan string koneksi satu baris. Contoh berikut menambahkan jeda baris untuk dibaca.
```
jdbc:awsathena://AwsRegion=region-id;
S3OutputLocation=s3://amzn-s3-demo-bucket/athena_results;
AwsCredentialsProviderClass=com.simba.athena.iamsupport.plugin.OktaCredentialsProvider;
user=athena-ba-user@anycompany.com;
password=password;
idp_host=okta-idp-domain;
App_ID=okta-application-id;
SSL_Insecure=true;
LakeFormationEnabled=true;
```
+ Untuk menggunakan URL AWS berbasis profil, lakukan langkah-langkah berikut:
1. Konfigurasikan AWS profil yang memiliki file kredensial seperti contoh berikut.
```
[athena_lf_ba]
plugin_name=com.simba.athena.iamsupport.plugin.OktaCredentialsProvider
idp_host=okta-idp-domain
app_id=okta-application-id
uid=athena-ba-user@anycompany.com
pwd=password
```
1. Untuk**URL**, masukkan string koneksi single-line seperti berikut. Contoh menambahkan jeda baris untuk dibaca.
```
jdbc:awsathena://AwsRegion=region-id;
S3OutputLocation=s3://amzn-s3-demo-bucket/athena_results;
profile=athena_lf_ba;
SSL_Insecure=true;
LakeFormationEnabled=true;
```
1. Pilih**Uji**untuk mengkonfirmasi bahwa koneksi berhasil.
1. Dari**Pernyataan SQL**jendela, jalankan yang sama`DESCRIBE`dan`SELECT`Perintah SQL yang Anda lakukan sebelum dan memeriksa hasil.
Karena **athena-ba-user**adalah anggota **lf-business-analyst**grup, hanya tiga kolom pertama yang Anda tentukan di konsol Lake Formation yang dikembalikan.
![\[Hanya tiga kolom pertama dikembalikan.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-7.png)
![\[Data dari tiga kolom pertama.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-8.png)
Selanjutnya, Anda kembali ke konsol Okta untuk menambahkan`athena-ba-user`ke`lf-developer`Grup Okta.
**Untuk menambahkan athena-ba-user ke grup pengembang lf**
1. Masuk ke konsol Okta sebagai pengguna administratif dari domain Okta yang ditugaskan.
1. Pilih **Grup**, lalu pilih **Tester**.
1. Pada halaman Grup, pilih opsi**Pengembang lf**kelompok.
![\[PilihPengembang lfkelompok.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-9.png)
1. Pilih**Mengelola orang**.
1. Dari daftar **Bukan Anggota**, pilih **athena-ba-user**untuk menambahkannya ke grup **pengembang lf**.
1. Pilih **Simpan**.
Sekarang Anda kembali ke konsol Lake Formation untuk mengonfigurasi izin tabel untuk**Pengembang lf**kelompok.
**Untuk mengkonfigurasi izin tabel untuk lf-developer-group**
1. Masuk ke konsol Lake Formation sebagai administrator Data Lake.
1. Di panel navigasi, pilih **Tabel**.
1. Pilih**nyctaxi**tabel.
1. Pilih**Tindakan**,**Izin**.
1. Di**Berikan Izin**, masukkan informasi berikut:
+ Untuk **pengguna dan grup SAFL dan Amazon Quick, masukkan ARN grup** pengembang lf Okta SAM dalam format berikut:
+ Untuk **Kolom**, **Pilih jenis filter**, pilih **Sertakan kolom**.
+ Pilih kolom **trip\$1type**.
+ Untuk**Izin tabel**, pilih **SELECT**.
1. Pilih **Izin**.
Sekarang Anda dapat menggunakan SQL Workbench untuk memverifikasi perubahan izin untuk grup **If-developer**. Perubahan harus tercermin dalam data yang tersedia untuk **athena-ba-user**, yang sekarang menjadi anggota grup **pengembang lf**.
**Untuk memverifikasi perubahan izin untuk athena-ba-user**
1. Tutup program SQL Workbench, dan kemudian buka kembali.
1. Connect ke profil untuk **athena-ba-user**.
1. Dari**Pernyataan**jendela, masalah pernyataan SQL yang sama yang Anda jalankan sebelumnya:
Kali ini,**trip\$1type**kolom ditampilkan.
![\[Kolom keempat tersedia untuk kueri.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-10.png)
Karena **athena-ba-user**sekarang menjadi anggota **pengembang lf** dan **lf-business-analyst**grup, kombinasi izin Lake Formation untuk grup tersebut menentukan kolom yang dikembalikan.
![\[Kolom keempat dalam hasil data.\]](http://docs.aws.amazon.com/id_id/athena/latest/ug/images/security-athena-lake-formation-jdbc-okta-tutorial-verify-access-11.png)
## Kesimpulan
Dalam tutorial ini Anda mengonfigurasi integrasi Athena dengan AWS Lake Formation menggunakan Okta sebagai penyedia SAFL. Anda menggunakan Lake Formation dan IAM untuk mengontrol sumber daya yang tersedia untuk pengguna SAFL di Katalog Data lake AWS Glue data Anda.
## Sumber daya terkait
Untuk informasi terkait, lihat sumber daya berikut:
+ [Connect ke Amazon Athena dengan JDBC](connect-with-jdbc.md)
+ [Aktifkan akses federasi ke Athena API](access-federation-saml.md)
+ [AWS Lake Formation Panduan Pengembang](https://docs.aws.amazon.com/lake-formation/latest/dg/)
+ [Memberikan dan mencabut izin Katalog Data](https://docs.aws.amazon.com/lake-formation/latest/dg/granting-catalog-permissions.html) *di Panduan Pengembang.AWS Lake Formation *
+ [Penyedia identitas dan federasi](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) dalam *Panduan Pengguna IAM*.
+ [Membuat penyedia identitas SALL IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html) di Panduan Pengguna *IAM*.
+ [Mengaktifkan federasi untuk AWS menggunakan Windows Active Directory, ADFS, dan SAMP 2.0 di Blog](https://aws.amazon.com/blogs/security/enabling-federation-to-aws-using-windows-active-directory-adfs-and-saml-2-0/) *Keamanan.AWS *