View a markdown version of this page

AwsGlueDataBrewDataResourcePolicy - AWS Glue DataBrew開發人員指南

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

AwsGlueDataBrewDataResourcePolicy

此AwsGlueDataBrewDataResourcePolicy政策會授予連線至資料和設定 DataBrew 所需的許可。

下表說明此政策授予的許可。

Action Resource Description

"s3:GetObject"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

可讓您預覽檔案。

"s3:PutObject"

"s3:PutBucketCORS"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

允許將輸出檔案傳送至 S3。

"s3:DeleteObject"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

允許刪除 DataBrew 建立的物件。

"s3:ListBucket"

"arn:aws:s3:::bucket_name/*", "arn:aws:s3:::bucket_name"

允許從專案、資料集和任務列出 Amazon S3 儲存貯體。
"kms:Decrypt"

"arn:aws:kms:::key/key_ids"

允許解密加密的資料集。

"kms:GenerateDataKey"

"arn:aws:kms:::key/key_ids"

允許加密任務輸出。

"ec2:DescribeVpcEndpoints"

"ec2:DescribeRouteTables"

"ec2:DeleteNetworkInterface"

"ec2:DescribeNetworkInterfaces"

"ec2:DescribeSecurityGroups"

"ec2:DescribeSubnets"

"ec2:DescribeVpcAttribute"

"ec2:CreateNetworkInterface"

"*"

允許在執行任務和專案時設定 Amazon EC2 網路項目，例如虛擬私有雲端 (VPCs)。

"ec2:DeleteNetworkInterface"

"*" 允許刪除 VPC 中的網路界面。

"ec2:CreateTags"

"ec2:DeleteTags"

"arn:aws:ec2:::network-interface/*", "arn:aws:ec2:::security-group/*"

允許建立和刪除標籤。

如果您在啟用 VPC 的情況下使用AWS Glue Data Catalog，則需要這些許可。DataBrew 會將資料傳遞至AWS Glue以執行您的任務和專案。這些許可允許標記為開發端點建立的 Amazon EC2 資源。使用AWS Glue標記 Amazon EC2 網路介面、安全群組和執行個體aws-glue-service-resource。

"logs:CreateLogGroup"

"logs:CreateLogStream"

"logs:PutLogEvents"

"arn:aws:logs:::log-group:/aws-glue-databrew/*"

允許將日誌寫入 Amazon CloudWatch Logs

DataBrew 會將日誌寫入名稱開頭為 的日誌群組aws-glue-databrew。

"lakeformation:GetDataAccess"

"*"

允許存取AWS Lake Formation，也允許"Glue":"GetTable"提供

使用 Lake Formation 需要在 Lake Formation 主控台中進一步設定。