先决条件

要在混合访问模式下共享数据目录数据库和表并共享联合目录中的对象，您需要将跨账户版本设置更新为版本 4。

在向数据目录资源授予跨账户权限之前，必须撤销该 IAMAllowedPrincipals 组对该资源的所有 Lake Formation 权限。如果调用主体拥有跨账户访问资源的权限，并且对于该资源存在 IAMAllowedPrincipals 权限，则 Lake Formation 会引发 AccessDeniedException。

仅当在 Lake Formation 模式下注册基础数据位置时，此要求才适用。如果在混合模式下注册数据位置，则对于共享数据库或表可以存在 IAMAllowedPrincipals 组权限。

对于包含要共享的表的数据库，必须防止新表的默认授权 Super 为 IAMAllowedPrincipals。在 Lake Formation 控制台上，编辑数据库并关闭 “仅对该数据库中的新表使用 IAM 访问控制”，或者输入以下 AWS CLI 命令（database替换为数据库名称）。如果基础数据位置是在混合访问模式下注册的，则无需更改此默认设置。在混合访问模式下，Lake Formation 允许您有选择地对亚马逊 S3 和同一资源强制执行 Lake Formati AWS Glue on 权限和 IAM 权限策略。

aws glue update-database --name database --database-input '{"Name":"database","CreateTableDefaultPermissions":[]}'
         

要授予跨账户权限，授予者必须对AWS Glue和 AWS RAM 服务具有必需的 AWS Identity and Access Management (IAM) 权限。 AWS 托管策略AWSLakeFormationCrossAccountManager授予所需的权限。

使用接收资源共享的账户中的数据湖管理员 AWS RAM 必须遵守以下附加策略。它允许管理员接受 AWS RAM 资源共享邀请。它还允许管理员启用与组织的资源共享。

如果要与 AWS Organizations 或组织单位共享数据目录资源，则必须在中启用与组织共享 AWS RAM。

有关如何启用与组织共享的信息，请参阅《AWS RAM 用户指南》中的 “启用与 AWS 组织共享”。

您必须拥有用于启用与组织的共享所需的 ram:EnableSharingWithAwsOrganization 权限。

要直接与其他账户中的 IAM 主体共享资源，您需要将跨账户版本设置更新为版本 3。此设置在数据目录设置页面上提供。如果您使用的是版本 1，请参阅有关更新设置 更新跨账户数据共享版本设置 的说明。

您不能与其他账户共享使用 AWS Glue 服务托管密钥加密的数据目录资源。您只能共享使用客户加密密钥加密的数据目录资源，并且接收资源共享的账户必须对数据目录加密密钥拥有相应权限才能解密对象。

要 AWS Organizations 与组织单位 (OUs) 共享数据目录资源，您需要将跨账户版本设置更新为版本 3 或更高版本。

要使用“版本 3”这一跨账户版本设置共享数据目录资源，授予者需要拥有在您的账户中的 AWS 托管策略 AWSLakeFormationCrossAccountManager 中定义的 IAM 权限。

如果您使用的跨账户版本设置是“版本 1”或“版本 2”，则必须具有启用 LF-TBAC 的数据目录资源策略 (glue:PutResourcePolicy)。有关更多信息，请参阅 使用 AWS Glue 和 Lake Formation 管理跨账户权限。。

如果您当前在使用 AWS Glue 数据目录资源策略共享资源，并且想要使用“版本 3”这一跨账户版本设置授予跨账户权限，则必须使用 glue:PutResourcePolicy API 操作在数据目录设置中添加 glue:ShareResource 权限，如使用 AWS Glue 和 Lake Formation 管理跨账户权限。一节所示。如果您的账户未进行跨账户授权，即未使用 AWS Glue 数据目录资源策略（版本 1 和版本 2 使用 glue:PutResourcePolicy 权限）授予跨账户访问权限，则无需此策略。

{
      "Effect": "Allow",
      "Action": [
        "glue:ShareResource"
      ],
      "Principal": {"Service": [
        "ram.amazonaws.com"
      ]},
      "Resource": [
        "arn:aws:glue:<region>:<account-id>:table/*/*",
        "arn:aws:glue:<region>:<account-id>:database/*",
        "arn:aws:glue:<region>:<account-id>:catalog"
      ]
    }          
        

如果您的账户已使用 AWS Glue 数据目录资源策略进行跨账户共享，并且您当前在使用命名资源方法或跨账户设置为“版本 3”的 LF-TBAC 来共享资源（使用 AWS RAM 共享资源），则在调用 glue:PutResourcePolicy API 操作时必须将 EnableHybrid 参数设置为 'true'。有关更多信息，请参阅 使用 AWS Glue 和 Lake Formation 管理跨账户权限。。

如果您与共享资源 AWS 账户，则消费者账户中必须至少有一个用户是数据湖管理员才能查看共享资源。有关如何创建数据湖管理员的信息，请参阅创建数据湖管理员。

数据湖管理员可以向账户中的其他主体授予对共享资源的 Lake Formation 权限。在数据湖管理员向其他主体授予对共享资源的权限之前，这些主体无法访问共享资源。

Athena 和 Redshift Spectrum 等集成服务需要资源链接才能在查询中包含共享资源。主体需要在其数据目录中创建指向其他 AWS 账户中共享资源的资源链接。有关资源链接的更多信息，请参阅资源链接在 Lake Formation 中的工作原理。

当直接与 IAM 主体共享资源时，要使用 Athena 查询表，则主体需要创建资源链接。要创建资源链接，主体需要 Lake Formation CREATE_TABLE 或 CREATE_DATABASE 权限，以及 glue:CreateTable 或 glue:CreateDatabase IAM 权限。

如果制作者账户与同一主体或其他主体共享同一数据库下的不同表，则该主体立即可以查询该表。