View a markdown version of this page

Concessione delle autorizzazioni per il data lake utilizzando il metodo LF-TBAC - AWS Lake Formation
Concessione delle autorizzazioni di Data Catalog utilizzando il Metodo LF-TBAC

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Concessione delle autorizzazioni per il data lake utilizzando il metodo LF-TBAC

Puoi concedere le autorizzazioni DESCRIBE e ASSOCIATE Lake Formation LF-Tags ai principali in modo che possano visualizzare LF-Tags e assegnarle alle risorse del Data Catalog (database, tabelle, viste e colonne). Quando LF-Tags vengono assegnati a risorse del Data Catalog, puoi utilizzare il metodo access control (LF-TBAC) basato su tag Lake Formation per proteggere tali risorse. Per ulteriori informazioni, consulta Controllo degli accessi basato su tag Lake Formation.

Inizialmente, solo l'amministratore del data lake può concedere queste autorizzazioni. Se l'amministratore del data lake concede queste autorizzazioni con l'opzione di concessione, altri responsabili possono concederle. Le ASSOCIATE autorizzazioni DESCRIBE e sono spiegate in. Buone pratiche e considerazioni per il controllo degli accessi basato su tag Lake Formation

È possibile concedere le ASSOCIATE autorizzazioni DESCRIBE and su LF-Tag a un account esterno AWS . Un amministratore del data lake in quell'account può quindi concedere tali autorizzazioni ad altri responsabili dell'account. I responsabili a cui l'amministratore del data lake dell'account esterno concede l'ASSOCIATEautorizzazione possono quindi assegnare LF-Tags al Data Catalog le risorse che hai condiviso con il loro account.

Quando si effettua la concessione a un account esterno, è necessario includere l'opzione di concessione.

Puoi concedere le autorizzazioni LF-Tags utilizzando la AWS Lake Formation console, l'API o AWS Command Line Interface ()AWS CLI.

Nota

I seguenti passaggi non sono necessari per i cataloghi di S3 Tables. Puoi utilizzarlo LF-Tags per concedere le autorizzazioni sui cataloghi S3 Tables esistenti senza eliminarli e ricrearli.

Abilitazione del LF-Tags supporto per i cataloghi federati esistenti che utilizzano le autorizzazioni di Lake Formation

Segui questi passaggi, se disponi di cataloghi federati esistenti che utilizzano le autorizzazioni di Lake Formation, come Amazon Redshift o Amazon DynamoDB cataloghi creati prima che fosse disponibile il LF-Tags supporto per i cataloghi federati.

  1. Elimina il catalogo esistente: richiama l'operazione deleteCatalog API per rimuovere il catalogo federato esistente che utilizza le autorizzazioni Lake Formation.

  2. Crea un nuovo catalogo federato: crea un nuovo catalogo e indirizza il nuovo catalogo a quello esistente. namespace/datashare

    Usa un nuovo nome per il catalogo: questo processo aggiorna i cataloghi federati preesistenti per supportarne le funzionalità. LF-Tag Se desideri utilizzare lo stesso nome di catalogo, contatta il team di AWS supporto per ricevere assistenza.

Consulta anche

Concessione delle autorizzazioni per Data Catalog

Usa la console Lake Formation o AWS CLI concedi le autorizzazioni di Lake Formation su database, tabelle, viste e colonne di Data Catalog utilizzando il metodo access control (LF-TBAC) basato su tag Lake Formation.

Console

I passaggi seguenti spiegano come concedere le autorizzazioni utilizzando il metodo access control (LF-TBAC) basato su tag Lake Formation e la pagina Grant data lake permissions sulla console Lake Formation. La pagina è suddivisa nelle seguenti sezioni:

  • Principi: utenti, ruoli e autorizzazioni Account AWS a cui concedere le autorizzazioni.

  • LF-Tags o risorse del catalogo: i database, le tabelle o i collegamenti alle risorse a cui concedere le autorizzazioni.

  • Autorizzazioni: autorizzazioni da concedere a The Lake Formation.

  1. Apri la pagina Concedi le autorizzazioni del data lake.

    Apri la AWS Lake Formation console all'indirizzo https://console.aws.amazon.com/lakeformation/e accedi come amministratore del data lake o come utente a cui sono state concesse le autorizzazioni di Lake Formation sulle risorse di Data Catalog LF-TBAC tramite l'opzione di concessione.

    Nel riquadro di navigazione, in Autorizzazioni, scegli Autorizzazioni Data lake. Quindi scegli Concedi.

  2. Specificate i principi.

    Nella sezione Principali, scegli un tipo principale, quindi specifica i principali a cui concedere le autorizzazioni.

    La sezione Principi contiene quattro riquadri denominati nel testo seguente. Ogni riquadro contiene un pulsante di opzione e un testo. Il riquadro IAM Identity Center è selezionato e l'elenco a discesa di utenti e gruppi si trova sotto i riquadri.
    Utenti e ruoli IAM

    Scegli uno o più utenti o ruoli dall'elenco degli utenti e dei ruoli IAM.

    Centro identità IAM

    Scegli uno o più utenti o dall'elenco Utenti e gruppi.

    Utenti e gruppi SAML

    Per utenti e gruppi SAML e Quick, inserisci uno o più Amazon Resource Names (ARN) per utenti o gruppi federati tramite SAML o ARN per utenti o gruppi Quick. Premi Invio dopo ogni ARN.

    Per informazioni su come costruire gli ARN, consulta. Concessione e revoca di Lake Formation AWS CLI comandi

    Nota

    L'integrazione di Lake Formation con Quick è supportata solo per Quick Enterprise Edition.

    Account esterni

    Per Account AWS, AWS organizzazione o responsabile IAM inserisci uno o più Account AWS ID, ID organizzazione, ID unità organizzative o ARN validi per l'utente o il ruolo IAM. Premi Invio dopo ogni ID.

    Un ID dell'organizzazione è composto da «o-» seguito da 10-32 lettere o cifre minuscole.

    L'ID di un'unità organizzativa inizia con «ou-» seguito da 4 a 32 lettere o cifre minuscole (l'ID della radice che contiene l'unità organizzativa). Questa stringa è seguita da un secondo trattino «-» e da 8 a 32 lettere o cifre minuscole aggiuntive.

  3. Specificare il. LF-Tags

    Assicurati che sia selezionata l' LF-Tagsopzione Risorse abbinate per. Scegliete LF-Tag coppie chiave-valore o espressioni salvate. LF-Tag

    1. Se scegli l'opzione coppie LF-Tag chiave-valore, scegli le chiavi e i valori.

      Se scegliete più di un valore, state creando un' LF-Tag espressione con un OR operatore. Ciò significa che se uno qualsiasi dei LF-Tag valori corrisponde a quello LF-Tag assegnato a una risorsa del Data Catalog, ti vengono concesse le autorizzazioni sulla risorsa.

      La sezione LF-Tag o le risorse del catalogo contiene due riquadri disposti orizzontalmente, in cui ogni riquadro contiene un pulsante di opzione e un testo descrittivo. Le opzioni sono Risorse abbinate da LF-Tags (scelta consigliata) e Risorse denominate del catalogo di dati. È selezionata l'opzione Risorse abbinate LF-Tags a. Sotto i riquadri ci sono un campo Chiave e un campo Valori disposti orizzontalmente. Il campo Chiave contiene «modulo» e il campo Valori è un elenco a discesa che contiene tre voci: Ordini, Vendite e Clienti. A ogni voce è associata una casella di controllo. La casella di controllo Clienti è selezionata. A destra di questi due campi c'è un pulsante Rimuovi. Nella parte inferiore c'è un LF-Tag pulsante Aggiungi, che indica che è possibile aggiungere un'altra riga contenente i campi Chiave e Valori e un pulsante Rimuovi.

    2. (Facoltativo) Scegliete nuovamente Aggiungi coppia LF-Tag chiave-valore per specificarne un'altra. LF-Tag

      Se ne specificate più di una LF-Tag, state creando un' LF-Tag espressione con un AND operatore. Al principale vengono concesse le autorizzazioni su una risorsa del catalogo dati solo se alla risorsa è stata assegnata una corrispondenza LF-Tag per ciascuna risorsa LF-Tag nell' LF-Tag espressione.

    3. Scegliete l'opzione Salva come nuova espressione per riutilizzare l'espressione.

      È necessario Create LF-Tag expression salvare le espressioni.

      Per ulteriori informazioni sulle LF-Tag espressioni, vedereGestione delle LF-Tag espressioni per il controllo dell'accesso ai metadati.

  4. Specificare le autorizzazioni.

    Specificate le autorizzazioni che desiderate concedere al principale per le risorse del Data Catalog corrispondenti. Le risorse corrispondenti sono quelle che sono state assegnate LF-Tags e corrispondono a una delle LF-Tag espressioni concesse al principale.

    È possibile specificare le autorizzazioni da concedere ai database corrispondenti, alle tabelle corrispondenti e alle viste corrispondenti.

    Vengono mostrate due sezioni della pagina. La sezione Autorizzazioni del database contiene le caselle di controllo per le autorizzazioni del database e le autorizzazioni concedibili. Sotto la sezione Database, la sezione Autorizzazioni per le tabelle mostra le caselle di controllo per le autorizzazioni relative alle tabelle e alle autorizzazioni concedibili.

    In Autorizzazioni database, seleziona le autorizzazioni del database da concedere al principale sui database corrispondenti.

    In Autorizzazioni per le tabelle, seleziona le autorizzazioni per la tabella o la visualizzazione da concedere al principale per le tabelle e le viste corrispondenti.

    Puoi anche scegliere tra Select le Describe Drop autorizzazioni della tabella e applicare alle viste le autorizzazioni.

  5. Scegliere Concedi.

AWS CLI

Puoi utilizzare il metodo di controllo degli accessi AWS Command Line Interface (AWS CLI) basato su tag (LF-TBAC) e Lake Formation per concedere le autorizzazioni di Lake Formation su database, tabelle e colonne di Data Catalog.

Concessione delle autorizzazioni per il data lake utilizzando il AWS CLI e il metodo LF-TBAC

  • Utilizza il comando grant-permissions.

    Esempio

    L'esempio seguente concede l' LF-Tag espressione "module=*" (tutti i valori della LF-Tag chiavemodule) all'utentedatalake_user1. Quell'utente avrà l'CREATE_TABLEautorizzazione su tutti i database corrispondenti, ovvero i database a cui è stata assegnata la chiavemodule, LF-Tag con qualsiasi valore.

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "CREATE_TABLE" --resource '{ "LFTagPolicy": {"CatalogId":"111122223333","ResourceType":"DATABASE","Expression":[{"TagKey":"module","TagValues":["*"]}]}}'
    Esempio

    L'esempio successivo concede l' LF-Tag espressione "" all'utente. (level=director) AND (region=west OR region=south) datalake_user1 Quell'utente disporrà delle SELECT DROP autorizzazioni e dell'opzione grant sulle tabelle corrispondentiALTER, ovvero tabelle a cui sono stati assegnati sia level=director and (or). region=west region=south

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "SELECT" "ALTER" "DROP" --permissions-with-grant-option "SELECT" "ALTER" "DROP" --resource '{ "LFTagPolicy": {"CatalogId":"111122223333","ResourceType":"TABLE","Expression": [{"TagKey": "level","TagValues": ["director"]},{"TagKey": "region","TagValues": ["west", "south"]}]}}'
    Esempio

    Il prossimo esempio concede l' LF-Tag espressione "module=orders" all'account 1234-5678-9012. AWS L'amministratore del data lake di quell'account può quindi concedere l'espressione "module=orders" ai responsabili del proprio account. Tali responsabili avranno quindi il CREATE_TABLE permesso di abbinare i database di proprietà dell'account 1111-2222-3333 e condivisi con l'account 1234-5678-9012 utilizzando il metodo della risorsa denominata o il metodo. LF-TBAC 

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=123456789012 --permissions "CREATE_TABLE" --permissions-with-grant-option "CREATE_TABLE" --resource '{ "LFTagPolicy": {"CatalogId":"111122223333","ResourceType":"DATABASE","Expression":[{"TagKey":"module","TagValues":["orders"]}]}}'