Menggunakan identitas federasi untuk mengelola akses Amazon Redshift ke sumber daya lokal dan tabel eksternal Amazon Redshift Spectrum

Buat identitas IAM. Ini bisa menjadi pengguna atau peran IAM. Gunakan nama apa pun yang didukung oleh IAM.

Lampirkan kebijakan izin ke identitas. Tentukan salah satu dari berikut ini:

Anda dapat menambahkan izin dengan editor kebijakan, menggunakan konsol IAM.

Identitas IAM juga memerlukan izin untuk mengakses data eksternal. Berikan akses ke Amazon S3 dengan menambahkan kebijakan AWS terkelola berikut secara langsung:

Kebijakan terkelola terakhir diperlukan jika Anda menggunakan AWS Glue untuk menyiapkan data eksternal Anda. Untuk informasi selengkapnya tentang langkah-langkah pemberian akses ke Amazon Redshift Spectrum, lihat Membuat peran IAM untuk Amazon Redshift, yang merupakan bagian dari panduan memulai Amazon Redshift dan Redshift Spectrum. Ini menunjukkan langkah-langkah untuk menambahkan kebijakan IAM untuk mengakses Redshift Spectrum.

Siapkan klien SQL Anda untuk terhubung ke Amazon Redshift. Gunakan driver Amazon Redshift JDBC, dan tambahkan kredenal pengguna Anda ke properti kredensi alat. Klien seperti SQL Workbench/J bekerja dengan baik untuk ini. Mengatur properti extended client-connection berikut:

Setel URL ke titik akhir JDBC yang ditemukan di konsol Amazon Redshift atau Amazon Redshift Tanpa Server. Ganti skema URL Anda dengan jdbc:redshift:iam: dan gunakan pemformatan ini:

Setelah Anda terhubung ke database untuk pertama kalinya, menggunakan identitas IAM, Amazon Redshift secara otomatis membuat identitas Amazon Redshift dengan nama yang sama, diawali IAM: dengan untuk pengguna IAMR: atau untuk peran IAM. Langkah-langkah yang tersisa dalam topik ini menunjukkan contoh untuk pengguna.

Jika pengguna Redshift tidak dibuat secara otomatis, Anda dapat membuatnya dengan menjalankan CREATE USER pernyataan, menggunakan akun admin, yang menentukan nama pengguna dalam format. IAM:<user name>

Sebagai administrator klaster Amazon Redshift Anda, berikan pengguna Redshift izin yang diperlukan untuk mengakses skema eksternal.

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

Untuk memberikan kemampuan kepada pengguna Redshift Anda untuk membuat tabel dalam skema eksternal, mereka harus menjadi pemilik skema. Misalnya:

ALTER SCHEMA my_schema owner to "IAM:my_user";

Untuk memverifikasi konfigurasi, jalankan kueri sebagai pengguna, menggunakan klien SQL, setelah izin diberikan. Sampel kueri ini mengambil data dari tabel eksternal.

SELECT * FROM my_schema.my_table;

Buat tabel lokal dan tabel eksternal. Tabel eksternal dikatalogkan dengan AWS Glue pekerjaan untuk ini.

Connect ke Amazon Redshift dengan identitas IAM Anda. Seperti disebutkan di bagian sebelumnya, ketika identitas terhubung ke Amazon Redshift, pengguna database Redshift dibuat. Pengguna dibuat jika sebelumnya tidak ada. Jika pengguna baru, administrator harus memberi mereka izin untuk melakukan tugas di Amazon Redshift, seperti menanyakan dan membuat tabel.

Connect ke Redshift dengan akun admin Anda. Jalankan perintah untuk membuat skema eksternal, menggunakan SESSION nilai.

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

Perhatikan bahwa catalog_id diatur dalam kasus ini. Ini adalah pengaturan baru yang ditambahkan dengan fitur, karena SESSION menggantikan peran tertentu.

Dalam contoh ini, nilai dalam kueri meniru bagaimana nilai nyata muncul.

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

catalog_idNilai dalam hal ini adalah ID AWS akun Anda.

Jalankan kueri untuk mengakses data eksternal Anda, menggunakan identitas IAM yang terhubung dengan Anda pada langkah 2. Misalnya:

select * from spectrum_schema.table1;

Dalam hal ini, table1 dapat berupa, misalnya, data berformat JSON dalam file, di bucket Amazon S3.

Jika Anda sudah memiliki skema eksternal yang menggunakan peran IAM terlampir cluster, menunjuk ke database atau skema eksternal Anda, Anda dapat mengganti skema yang ada dan menggunakan identitas federasi seperti yang dirinci dalam langkah-langkah ini, atau membuat yang baru.