View a markdown version of this page

Prerequisiti per l'integrazione di IAM Identity Center con Lake Formation - AWS Lake Formation

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Prerequisiti per l'integrazione di IAM Identity Center con Lake Formation

Di seguito sono riportati i prerequisiti per l'integrazione di IAM Identity Center con Lake Formation.

  1. Abilita IAM Identity Center: abilitare IAM Identity Center è un prerequisito per supportare l'autenticazione e la propagazione delle identità.

  2. Scegli la tua fonte di identità: dopo aver abilitato IAM Identity Center, devi disporre di un provider di identità per gestire utenti e gruppi. È possibile utilizzare la directory Identity Center integrata come origine di identità o utilizzare un IdP esterno, ad esempio Microsoft Entra ID o Okta.

    Per ulteriori informazioni, consulta Manage your identity source e Connect to a un provider di identità esterno nella Guida per l' Centro identità AWS IAM utente.

  3. Crea un ruolo IAM: il ruolo che crea la connessione IAM Identity Center richiede le autorizzazioni per creare e modificare la configurazione dell'applicazione in Lake Formation e IAM Identity Center come nella seguente politica in linea.

    È necessario aggiungere le autorizzazioni in base alle migliori pratiche IAM. Le autorizzazioni specifiche sono illustrate nelle procedure che seguono. Per ulteriori informazioni, consulta Guida introduttiva a IAM Identity Center.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:CreateLakeFormationIdentityCenterConfiguration",
                "sso:CreateApplication",
                "sso:PutApplicationAssignmentConfiguration",
                "sso:PutApplicationAuthenticationMethod",
                "sso:PutApplicationGrant",
                "sso:PutApplicationAccessScope"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

    Se condividi risorse di Data Catalog con organizzazioni esterne Account AWS o esterne, devi disporre delle autorizzazioni AWS Resource Access Manager (AWS RAM) per creare condivisioni di risorse. Per ulteriori informazioni sulle autorizzazioni necessarie per condividere risorse, consulta Prerequisiti per la condivisione Cross-account dei dati.

Le seguenti politiche in linea contengono autorizzazioni specifiche necessarie per visualizzare, aggiornare ed eliminare le proprietà dell'integrazione di Lake Formation con IAM Identity Center.

  • Utilizza la seguente policy in linea per consentire a un ruolo IAM di visualizzare un'integrazione di Lake Formation con IAM Identity Center.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:DescribeLakeFormationIdentityCenterConfiguration",
                "sso:DescribeApplication"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

  • Utilizza la seguente policy in linea per consentire a un ruolo IAM di aggiornare un'integrazione di Lake Formation con IAM Identity Center. La policy include anche le autorizzazioni opzionali necessarie per condividere risorse con account esterni.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:UpdateLakeFormationIdentityCenterConfiguration",
                "lakeformation:DescribeLakeFormationIdentityCenterConfiguration",
                "sso:DescribeApplication",
                "sso:UpdateApplication"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

  • Utilizza la seguente policy in linea per consentire a un ruolo IAM di eliminare un'integrazione di Lake Formation con IAM Identity Center.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:DeleteLakeFormationIdentityCenterConfiguration",
                "sso:DeleteApplication"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

  • Per le autorizzazioni IAM necessarie per concedere o revocare le autorizzazioni del data lake per utenti e gruppi IAM Identity Center, consulta. Autorizzazioni IAM necessarie per concedere o revocare le autorizzazioni di Lake Formation

Descrizione delle autorizzazioni

  • lakeformation:CreateLakeFormationIdentityCenterConfiguration— Crea la configurazione iDC di Lake Formation.

  • lakeformation:DescribeLakeFormationIdentityCenterConfiguration— Descrive una configurazione iDC esistente.

  • lakeformation:DeleteLakeFormationIdentityCenterConfiguration— Offre la possibilità di eliminare una configurazione iDC di Lake Formation esistente.

  • lakeformation:UpdateLakeFormationIdentityCenterConfiguration— Usato per modificare una configurazione esistente di Lake Formation.

  • sso:CreateApplication: utilizzato per creare un'applicazione Centro identità IAM.

  • sso:DeleteApplication: utilizzato per eliminare un'applicazione Centro identità IAM.

  • sso:UpdateApplication: utilizzato per aggiornare un'applicazione Centro identità IAM.

  • sso:PutApplicationGrant: utilizzato per modificare le informazioni sull'emittente di token attendibile.

  • sso:PutApplicationAuthenticationMethod— Garantisce l'accesso all'autenticazione di Lake Formation.

  • sso:GetApplicationGrant: utilizzato per elencare informazioni sull'emittente di token attendibile.

  • sso:DeleteApplicationGrant: elimina le informazioni sull'emittente di token attendibile.

  • sso:PutApplicationAccessScope— Aggiunge o aggiorna l'elenco di destinazioni autorizzate per un ambito di accesso di IAM Identity Center per un'applicazione.

  • sso:PutApplicationAssignmentConfiguration— Utilizzato per configurare il modo in cui gli utenti accedono a un'applicazione.