在 Amazon Glue 控制台上管理安全配置
警告
Ray 作业目前不支持 Amazon Glue 安全配置。
Amazon Glue 中的安全配置包含当您写入加密数据时所需的属性。您在 Amazon Glue 控制台上创建安全配置,以提供由爬网程序、作业和开发终端节点使用的加密属性。
要查看您创建的所有安全配置的列表,请点击 https://console.aws.amazon.com/glue/
Security configurations (安全配置) 列表显示有关每个配置的以下属性:
- 名称
在创建配置时提供的唯一名称。名称可以包含字母(A-Z)、数字(0-9)、连字符(-)、或下划线(_),且长度最多为 255 个字符。
- 启用 Amazon S3 加密
如果开启,对于数据目录中的元数据存储会启用 Amazon Simple Storage Service(Amazon S3)加密模式(如
SSE-KMS
或SSE-S3
)。- 启用 Amazon CloudWatch Logs 加密
如果启用,在向 Amazon CloudWatch 写入日志时会使用 Amazon S3 加密模式(如
SSE-KMS
)。- 高级设置:启用作业书签加密
如果启用,在将作业添加到书签时会使用 Amazon S3 加密模式(如
CSE-KMS
)。
您可以在控制台上的 Security configurations (安全配置) 部分中添加或删除配置。要查看配置的详细信息,请在列表中选择配置名称。详细信息包括您在创建配置时定义的信息。
添加安全配置
要使用 Amazon Glue 控制台添加安全配置,请在 Security configurations (安全配置) 页面上选择 Add security configuration (添加安全配置)。
安全配置属性
输入唯一的安全配置名称。名称可以包含字母(A-Z)、数字(0-9)、连字符(-)、或下划线(_),且长度最多为 255 个字符。
加密设置
您可以对存储在 Amazon S3 的 Data Catalog 和 Amazon CloudWatch 的日志中的元数据启用静态加密。要在 Amazon Glue 控制台上使用 Amazon Key Management Service (Amazon KMS) 密钥对数据和元数据加密,请向控制台用户添加一个策略。此策略必须将允许的资源指定为用于对 Amazon S3 数据存储进行加密的密钥 Amazon Resource Names(ARN),如以下示例所示。
{ "Version": "2012-10-17", "Statement": { "Effect": "Allow", "Action": [ "kms:GenerateDataKey", "kms:Decrypt", "kms:Encrypt"], "Resource": "arn:aws:kms:
region
:account-id
:key/key-id
"} }
重要
当安全配置附加到爬网程序或任务时,传递的 IAM 角色必须具有 Amazon KMS 权限。有关更多信息,请参阅 加密 Amazon Glue 写入的数据。
在定义配置时,您可以为以下属性提供值:
- 启用 S3 加密
当您写入 Amazon S3 数据时,您可以将服务器端加密与 Amazon S3 托管密钥(SSE-S3)结合使用,也可以将服务器端加密(SSE-KMS)与 Amazon KMS 托管密钥结合使用。该字段是可选的。要允许访问 Amazon S3,请选择 Amazon KMS 密钥,或选择 Enter a key ARN (输入密钥 ARN) 并提供密钥的 ARN。输入
arn:aws:kms:
格式的 ARN。您也可以提供密钥别名形式的 ARN,例如region
:account-id
:key/key-id
arn:aws:kms:
。region
:account-id
:alias/alias-name
如果您为作业启用 Spark 用户界面,则上传到 Amazon S3 的 Spark 用户界面日志文件将采用相同的加密方式。
重要
Amazon Glue 只支持对称客户主密钥(CMK)。Amazon KMS key (Amazon KMS 密钥) 列表仅显示对称密钥。但是,如果选择 Choose a Amazon KMS key ARN (选择 Amazon KMS 密钥 ARN),控制台允许您为任何密钥类型输入 ARN。确保仅为对称密钥输入 ARN。
- 启用 CloudWatch 日志加密
服务器端加密(SSE-KMS)用于加密 CloudWatch Logs。该字段是可选的。要启用它,请选择 Amazon KMS 密钥,或选择 Enter a key ARN (输入密钥 ARN) 并提供密钥的 ARN。输入
arn:aws:kms:
格式的 ARN。您也可以提供密钥别名形式的 ARN,例如region
:account-id
:key/key-id
arn:aws:kms:
。region
:account-id
:alias/alias-name
- 高级设置:作业书签加密
客户端 (CSE-KMS) 加密用于加密作业书签。该字段是可选的。书签数据先进行加密,然后再发送到 Amazon S3 进行存储。要启用它,请选择 Amazon KMS 密钥,或选择 Enter a key ARN (输入密钥 ARN) 并提供密钥的 ARN。输入
arn:aws:kms:
格式的 ARN。您也可以提供密钥别名形式的 ARN,例如region
:account-id
:key/key-id
arn:aws:kms:
。region
:account-id
:alias/alias-name
有关更多信息,请参阅 Amazon Simple Storage Service 用户指南中的以下主题:
-
有关
SSE-S3
的更多信息,请参阅使用具有 Amazon S3 托管加密密钥 (SSE-S3) 的服务器端加密 (SSE-S3) 保护数据。 -
有关
SSE-KMS
的更多信息,请参阅 Protecting Data Using Server-Side Encryption with Amazon KMS keys。 -
有关
CSE-KMS
的信息,请参阅 Using a KMS key stored in Amazon KMS。