View a markdown version of this page

Mengelola LF-Tag ekspresi untuk kontrol akses metadata - AWS Lake Formation
Izin IAM diperlukan untuk membuat ekspresi LF-TagTambahkan pembuat LF-Tag ekspresi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengelola LF-Tag ekspresi untuk kontrol akses metadata

LF-Tag ekspresi adalah ekspresi logis yang terdiri dari satu atau lebih LF-Tags (pasangan kunci-nilai) yang digunakan untuk memberikan izin pada sumber daya. AWS Glue Data Catalog LF-Tag ekspresi memungkinkan Anda untuk menentukan aturan yang mengatur akses ke sumber daya data Anda berdasarkan tag metadata mereka. Anda dapat menyimpan ekspresi ini dan menggunakannya kembali di beberapa hibah izin, memastikan konsistensi dan membuatnya mudah untuk mengelola perubahan pada ontologi tag dari waktu ke waktu.

Dalam LF-Tag ekspresi yang diberikan, kunci tag digabungkan menggunakan operasi AND, sedangkan nilai digabungkan menggunakan operasi OR. Misalnya, ekspresi tag content_type:Sales AND location:US mewakili sumber daya yang terkait dengan data penjualan di AS.

Anda dapat membuat hingga 1000 LF-Tag ekspresi dalam file Akun AWS. Ekspresi ini menyediakan cara yang fleksibel dan terukur untuk mengelola izin berdasarkan tag metadata, memastikan bahwa hanya pengguna atau aplikasi yang berwenang yang dapat mengakses sumber daya data tertentu berdasarkan aturan tag yang ditentukan.

LF-Tag ekspresi menawarkan manfaat berikut:

  • Reusability — Dengan mendefinisikan dan menyimpan LF-Tag ekspresi, Anda tidak perlu lagi mereplikasi ekspresi yang sama secara manual saat menetapkan izin ke sumber daya atau prinsipal lain.

  • Konsistensi — Menggunakan kembali LF-Tag ekspresi di beberapa hibah izin memastikan konsistensi dalam cara izin diberikan dan dikelola.

  • Manajemen ontologi tag — LF-Tag ekspresi membantu mengelola perubahan pada ontologi tag dari waktu ke waktu, karena Anda dapat memperbarui ekspresi yang disimpan alih-alih memodifikasi hibah izin individual.

Untuk informasi lebih lanjut tentang kontrol akses berbasis tag, silakan merujuk ke. Kontrol akses berbasis tag Lake Formation

LF-Tag pencipta ekspresi

LF-Tag Pembuat ekspresi adalah kepala sekolah yang memiliki izin untuk membuat dan mengelola LF-Tag ekspresi. Administrator data lake dapat menambahkan pembuat LF-Tag ekspresi menggunakan konsol Lake Formation, CLI, API, atau SDK. LF-Tag pembuat ekspresi memiliki izin Lake Formation implisit untuk membuat, memperbarui, dan menghapus LF-Tag ekspresi, dan untuk memberikan izin LF-Tag ekspresi ke prinsipal lain.

LF-Tag pembuat ekspresi yang bukan administrator danau data menerima Grant with LF-Tag expression izin implisitAlter,, DropDescribe, dan hanya untuk ekspresi yang mereka buat.

Administrator data lake juga dapat memberikan izin yang dapat diberikan kepada pembuat LF-Tag ekspresi. Create LF-Tag expression Kemudian, pembuat LF-Tag ekspresi dapat memberikan izin untuk membuat LF-Tag ekspresi ke prinsipal lain.

Topik
Lihat juga

Izin IAM diperlukan untuk membuat ekspresi LF-Tag

Anda harus mengonfigurasi izin untuk mengizinkan prinsipal Lake Formation membuat LF-Tag ekspresi. Tambahkan pernyataan berikut ke kebijakan izin untuk prinsipal yang perlu menjadi pembuat LF-Tag ekspresi.

catatan

Meskipun administrator data lake memiliki izin Lake Formation implisit untuk membuat, memperbarui, dan menghapus LF-Tags dan LF-Tag ekspresi, untuk menetapkan sumber daya, dan LF-Tags untuk memberikan LF-Tags dan izin LF-Tag ekspresi kepada kepala sekolah, administrator data lake juga memerlukan izin IAM berikut.

Untuk informasi selengkapnya, lihat Referensi personas Lake Formation dan izin IAM.

{
"Sid": "Transformational",
"Effect": "Allow",
    "Action": [
        "lakeformation:AddLFTagsToResource",
        "lakeformation:RemoveLFTagsFromResource",
        "lakeformation:GetResourceLFTags",
        "lakeformation:ListLFTags",
        "lakeformation:CreateLFTag",
        "lakeformation:GetLFTag",
        "lakeformation:UpdateLFTag",
        "lakeformation:DeleteLFTag",
        "lakeformation:SearchTablesByLFTags",
        "lakeformation:SearchDatabasesByLFTags",
        "lakeformation:CreateLFTagExpression",
        "lakeformation:DeleteLFTagExpression",
        "lakeformation:UpdateLFTagExpression",
        "lakeformation:GetLFTagExpression",
        "lakeformation:ListLFTagExpressions",
        "lakeformation:GrantPermissions",
        "lakeformation:RevokePermissions",
        "lakeformation:BatchGrantPermissions",
        "lakeformation:BatchRevokePermissions"
     ]
 }

Tambahkan pembuat LF-Tag ekspresi

LF-Tag pembuat ekspresi dapat membuat dan menyimpan LF-Tag ekspresi yang dapat digunakan kembali, memperbarui kunci dan nilai tag, menghapus ekspresi, dan memberikan izin pada sumber daya Katalog Data kepada prinsipal menggunakan metode. LF-TBAC Pembuat LF-Tag ekspresi juga dapat memberikan izin ini kepada kepala sekolah.

Anda dapat membuat peran pembuat LF-Tag ekspresi menggunakan AWS Lake Formation konsol, API, atau AWS Command Line Interface (AWS CLI).

console
Untuk menambahkan pembuat LF-Tag ekspresi

  1. Buka konsol Lake Formation di https://console.aws.amazon.com/lakeformation/.

    Masuk sebagai administrator danau data.

  2. Di panel navigasi, di bawah Izin, pilih LF-Tags dan izin.

  3. Pilih tab LF-Tag ekspresi.

  4. Di bagian pembuat LF-Tag ekspresi, pilih Tambahkan pembuat LF-Tag ekspresi.

    LF-Tag wadah detail pembuat ekspresi yang menampilkan Pengguna IAM datalake_user dengan izin.

  5. Pada halaman Tambahkan pembuat LF-Tag ekspresi, pilih peran IAM atau pengguna yang memiliki izin yang diperlukan untuk membuat LF-Tag ekspresi.

  6. Pilih kotak centang Create LF-Tag expression izin.

  7. (Opsional) Untuk mengaktifkan prinsipal yang dipilih untuk memberikan Create LF-Tag expression izin kepada kepala sekolah, pilih Izin yang dapat diberikan. Create LF-Tag expression

  8. Pilih Tambahkan.

AWS CLI
aws lakeformation grant-permissions --cli-input-json file://grantCreate
{
    "Principal": {
        "DataLakePrincipalIdentifier": "arn:aws:iam::123456789012:user/tag-manager"
    },
    "Resource": {
        "Catalog": {}
    },
    "Permissions": [
        "CreateLFTagExpression"
    ],
    "PermissionsWithGrantOption": [
        "CreateLFTagExpression"
    ]
}

Peran pembuat LF-Tag ekspresi mendapatkan kemampuan untuk membuat, memperbarui, atau menghapus LF-Tag ekspresi.

Izin Deskripsi
Create Seorang kepala sekolah dengan izin ini dapat menambahkan LF-Tag ekspresi di danau data.
Drop Kepala sekolah dengan izin ini pada LF-Tag ekspresi dapat menghapus LF-Tag ekspresi dari data lake.
Alter Kepala sekolah dengan izin ini pada LF-Tag ekspresi dapat memperbarui badan ekspresi LF-Tag ekspresi.
Describe Seorang kepala sekolah dengan izin ini pada LF-Tag ekspresi dapat melihat isi LF-Tag ekspresi.
Grant with LF-Tag expression Izin ini memungkinkan penerima untuk menggunakan ekspresi tag sebagai sumber daya saat memberikan izin akses data atau metadata. Memberikan hibah Grant with LF-Tag expression implisit. Describe
Super Untuk LF-Tag ekspresi, Super izin memberikan kemampuan untukDescribe,, AlterDrop, dan memberikan izin pada ekspresi tag ke prinsipal lain.

Izin ini dapat diberikan. Seorang kepala sekolah yang telah diberikan izin ini dengan opsi hibah dapat memberikannya kepada prinsipal lain.