Fase 2: creare un ruolo IAM per AWS Glue - AWS Glue

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Fase 2: creare un ruolo IAM per AWS Glue

A questo punto devi concedere le autorizzazioni del ruolo IAM che AWS Glue può assumere quando chiama altri servizi per tuo conto. Ciò include l'accesso ad Amazon S3 per le origini, le destinazioni, gli script e le directory temporanee che usi con AWS Glue. Le autorizzazioni sono necessarie per crawler, processi ed endpoint di sviluppo.

Fornisci tali autorizzazioni utilizzando AWS Identity and Access Management (IAM). Aggiungi una policy al ruolo IAM passato a AWS Glue.

Per creare un ruolo IAM per AWS Glue

  1. Accedi AWS Management Console e apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

  2. Nel pannello di navigazione a sinistra seleziona Ruoli.

  3. Scegliere Crea ruolo.

  4. Scegli il AWS servizio come tipo di entità affidabile. Quindi, per servizio o caso d'uso, trova e scegli AWS Glue. Scegli Next (Successivo).

  5. Nella pagina Aggiungi autorizzazioni, scegli le politiche che contengono le autorizzazioni richieste; ad esempio, la politica gestita per le autorizzazioni generali AWS Glue e la politica AWS gestita AmazonS3 AWSGlueServiceRole per l' AWS accesso FullAccess alle risorse Amazon S3. Quindi scegli Successivo.

    Nota

    Verifica che una delle policy in questo ruolo conceda le autorizzazioni per le origini e le destinazioni Amazon S3. Puoi fornire una policy personalizzata per l'accesso a risorse Amazon S3 specifiche. Le origini dati richiedono le autorizzazioni s3:ListBucket e s3:GetObject. Le destinazioni dati richiedono le autorizzazioni s3:ListBucket, s3:PutObject e s3:DeleteObject. Per ulteriori informazioni sulla creazione di una policy Amazon S3 per le risorse, vedi Specificare le risorse in una policy. Per un esempio di policy Amazon S3, consulta la pagina relativa alla scrittura di policy IAM per concedere l'accesso a un bucket Amazon S3.

    Se prevedi di accedere a origini e destinazioni Amazon S3 crittografate con SSE-KMS, collega una policy che permetta a crawler, processi ed endpoint di sviluppo AWS Glue di decrittografare i dati. Per ulteriori informazioni, consulta Protezione dei dati utilizzando la crittografia lato server con chiavi gestite (SSE-KMS). AWS KMS

    Di seguito è riportato un esempio.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:*:111122223333:key/key-id"
            ]
        }
    ]
}

  6. Assegna un nome al tuo ruolo e aggiungi una descrizione (opzionale), quindi rivedi la politica di fiducia e le autorizzazioni. Per Role name (Nome ruolo), digita un nome per il ruolo, ad esempio AWSGlueServiceRoleDefault. Crea il ruolo usando come prefisso del nome la stringa AWSGlueServiceRole per permettere il passaggio del ruolo dagli utenti della console al servizio. Le policy fornite da AWS Glue prevedono ruoli di servizio IAM che iniziano con AWSGlueServiceRole. In caso contrario, è necessario aggiungere una policy per concedere agli utenti l'autorizzazione iam:PassRole per i ruoli IAM in modo da soddisfare la convenzione per la denominazione. Selezionare Create Role (Crea ruolo).

    Nota

    Quando crei un notebook con un ruolo, tale ruolo viene passato alle sessioni interattive in modo che lo stesso ruolo possa essere utilizzato in entrambe le posizioni. Come tale, il permesso iam:PassRole deve essere parte della policy del ruolo.

    Crea una nuova policy per il tuo ruolo utilizzando l'esempio seguente. Sostituisci il numero di account con il tuo e il nome del ruolo.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::090000000210:role/<role_name>"
        }
    ]
}

  7. Aggiungi tag al tuo ruolo (opzionale). I tag sono coppie chiave-valore che puoi aggiungere alle AWS risorse per identificare, organizzare o cercare risorse. Quindi seleziona Create role (Crea ruolo).