# AWS Glue ETL 可信身份传播集成的注意事项和限制
<a name="security-trusted-identity-propagation-considerations"></a>

**重要**  
 默认情况下，会话不是私有的，这意味着 IdC 用户可以访问其他 IdC 用户的会话。您可以使用 [TagonCreate](https://docs.aws.amazon.com/glue/latest/dg/glue-is-security.html#glue-is-tagoncreate) 将自己的会话设为私有。例如，您可以将会话添加一个 owner 标签，其值为 IDC 用户 ID，然后在策略中使用类似于 [https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-identity-store-user-id](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html#condition-keys-identity-store-user-id) 的全局条件键，从而根据客户端主体/运行时角色策略中的 owner 标签验证所有会话 API 操作，确保 IdC 用户无法访问其他 IdC 用户的会话。

将 IAM Identity Center 可信身份传播与 AWS Glue 应用程序结合使用时，应注意以下几点：
+ AWS Glue 5.0 及更高版本支持通过 Identity Center 进行可信身份传播，但仅限于使用 AWS Glue 交互式会话时。
+ Lake Formation Identity Center 集成涵盖了 AWS Glue Data Catalog。
+ 可信身份传播仅限于 AWS Glue 中的交互式会话，不包括其他数据处理实体，例如作业、触发器、工作流和机器学习任务。但是，所有 AWS Glue API 都会在 AWS CloudTrail 中记录用户身份以供审计。
+ AWS Glue 目前仅支持通过 API 和 CLI 接口与 IAM Identity Center 集成，不支持通过控制台集成。
+ 在 AWS Glue 端启用应用程序后，请务必使用 IdC 凭证创建 5.0 会话，而不要使用 IdC 凭证创建 4.0 会话。
+ 以下 AWS 区域支持将可信身份传播与 AWS Glue 结合使用：
  + af-south-1 – 非洲（开普敦）
  + ap-east-1：亚太地区（香港）
  + ap-northeast-1：亚太地区（东京）
  + ap-northeast-2：亚太地区（首尔）
  + ap-northeast-3：亚太地区（大阪）
  + ap-south-1：亚太地区（孟买）
  + ap-southeast-1：亚太地区（新加坡）
  + ap-southeast-2：亚太地区（悉尼）
  + ap-southeast-3：亚太地区（雅加达）
  + ca-central-1：加拿大（中部）
  + eu-central-1：欧洲地区（法兰克福）
  + eu-north-1：欧洲（斯德哥尔摩）
  + eu-south-1 – 欧洲地区（米兰）
  + eu-west-1：欧洲地区（爱尔兰）
  + eu-west-2：欧洲（伦敦）
  + eu-west-3：欧洲（巴黎）
  + me-south-1 – 中东（巴林）
  + sa-east-1：南美洲（圣保罗）
  + us-east-1：美国东部（弗吉尼亚北部）
  + us-east-2：美国东部（俄亥俄）
  + us-west-1：美国西部（加利福尼亚北部）
  + us-west-2：美国西部（俄勒冈）