# Conceder políticas com escopo dinâmico para execução de trabalhos
<a name="dynamically-scoped-policies"></a>

O AWS Glue oferece um novo recurso poderoso: políticas de sessão dinâmicas para execução de trabalhos. Esse recurso permite que você especifique permissões personalizadas e refinadas para cada execução de trabalho sem criar vários perfis do IAM.

Ao iniciar um trabalho do Glue usando a API `StartJobRun`, você pode incluir uma política de sessão em linha. Essa política modifica temporariamente as permissões do perfil de execução do trabalho durante a execução desse trabalho específico. Isso é semelhante ao uso de credenciais temporárias com a API `AssumeRole` em outros serviços da AWS.
+ **Segurança aprimorada**: é possível limitar as permissões de trabalho ao mínimo necessário para cada execução.
+ **Gerenciamento simplificado**: elimina a necessidade de criar e manter vários perfis do IAM para diferentes cenários.
+ **Flexibilidade**: é possível ajustar as permissões dinamicamente com base nos parâmetros de tempo de execução ou nas necessidades específicas do locatário.
+ **Escalabilidade**: esse método é excelente em ambientes multilocatários em que é necessário isolar os recursos entre os locatários.

**Exemplos para conceder o uso de políticas com escopo dinâmico:**

Os exemplos a seguir demonstram a concessão de acesso de *leitura* e *gravação* aos trabalhos somente para um caminho específico do bucket do Amazon S3, em que o caminho é determinado dinamicamente pelo ID de execução do trabalho. Isso ilustra como implementar permissões granulares e específicas de execução para cada execução de trabalho.

**Da CLI**

```
aws glue start-job-run \
    --job-name "your-job-name" \
    --execution-role-session-policy '{
        "Version": "2012-10-17",		 	 	 
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "s3:GetObject",
                    "s3:PutObject"
                ],
                "Resource": [
                    "arn:aws:s3:::specific-bucket/${JobRunId}/*"
                ]
            }
        ]
    }'
```