Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

授予跨账户访问权限

授予跨账户的数据目录资源访问权限，支持您提取、转换和加载（ETL）任务，以便从不同账户查询和联接数据。

用于在 Amazon Glue 中授予跨账户访问权限的方法

您可以使用 Amazon Glue 方法或 Amazon Lake Formation 跨账户授权，为外部 Amazon 账户授予数据访问权限。Amazon Glue 方法使用 Amazon Identity and Access Management（IAM）policy，实现精细访问控制。Lake Formation 使用更简单的 GRANT/REVOKE 权限模型，类似于关系数据库系统中的 GRANT/REVOKE 命令。

本部分介绍如何使用 Amazon Glue 方法。有关使用 Lake Formation 跨账户授权的信息，请参阅《Amazon Lake Formation 开发人员指南》中的授予 Lake Formation 权限。

有两种 Amazon Glue 方法可用于授予跨账户资源访问权限：

使用资源策略授予跨账户访问权限

以下是使用数据目录资源策略授予跨账户访问权限的一般步骤：

使用 IAM 角色授予跨账户访问权限

以下是使用 IAM 角色授予跨账户访问权限的一般步骤：

有关使用 IAM 委派权限的更多信息，请参阅 IAM 用户指南中的访问权限管理。有关用户、组、角色和权限的更多信息，请参阅 IAM 用户指南中的身份（用户、组和角色）。

有关这两种方法的对比，请参阅 IAM 用户指南中的 IAM 角色与基于资源的策略有何不同。Amazon Glue 支持这两个选项，但存在限制，即资源策略只能授予对 Data Catalog 资源的访问权限。

例如，要向账户 B 中的 Dev 角色授予对账户 A 中的数据库 db1 的访问权限，请将以下资源策略附加到账户 A 中的目录。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "glue:GetDatabase"
      ],
      "Principal": {"AWS": [
        "arn:aws:iam::account-B-id:role/Dev"
      ]},
      "Resource": [
        "arn:aws:glue:us-east-1:account-A-id:catalog",      
        "arn:aws:glue:us-east-1:account-A-id:database/db1"
      ]
    }
  ]
}

此外，账户 B 还必须将以下 IAM policy 附加至 Dev 角色，然后才能实际访问账户 A 中的 db1。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "glue:GetDatabase"
      ],
      "Resource": [
        "arn:aws:glue:us-east-1:account-A-id:catalog",      
        "arn:aws:glue:us-east-1:account-A-id:database/db1"
      ]
    }
  ]
}

添加或更新数据目录资源策略

您可以使用控制台、API 或 Amazon Command Line Interface（Amazon CLI）添加或更新 Amazon Glue 数据目录资源策略。

执行跨账户 API 调用

所有 Amazon Glue Data Catalog 操作都有一个 CatalogId 字段。如果已授予所需的权限来启用跨账户访问，则发起人可以跨账户进行数据目录 API 调用。调用方通过传递 CatalogId 中的目标 Amazon 账户 ID，以访问目标账户中的资源。

如果没有提供 CatalogId 值，Amazon Glue 将默认使用调用方自己的账户 ID，但该调用不是跨账户调用。

执行跨账户 ETL 调用

有些 Amazon Glue PySpark 和 Scala API 具有目录 ID 字段。如果已授予启用跨账户访问所需的全部权限，ETL 任务可通过在目录 ID 字段中传递目标 Amazon 账户 ID 来对 API 操作进行跨账户的 PySpark 和 Scala 调用，以访问目标账户中的数据目录资源。

如果没有提供目录 ID 值，Amazon Glue 将默认使用调用方自己的账户 ID，但该调用不是跨账户调用。

对于支持 catalog_id 的 PySpark API，请参阅 GlueContext 班级。对于支持 catalogId 的 Scala API，请参阅 Amazon GlueScala API GlueContext 。

以下示例显示被授权者运行 ETL 任务所需的权限。在此示例中，grantee-account-id 是运行作业的客户端的 catalog-id，grantor-account-id 是资源的拥有者。此示例用于授予对授予者账户中所有目录资源的权限。为限制所授予资源的范围，您可以提供目录、数据库、表和连接的特定 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetConnection",
                "glue:GetDatabase",
                "glue:GetTable",
                "glue:GetPartition" 
            ],
            "Principal": {"AWS": ["arn:aws:iam::grantee-account-id:root"]},
            "Resource": [
                "arn:aws:glue:us-east-1:grantor-account-id:*"
            ]
        }
    ]
}

如果账户 A 中的客户端已经获得创建和运行 ETL 作业的权限，则设置用于跨账户访问的 ETL 作业的基本步骤如下：

跨账户 CloudTrail 日志记录

当 Amazon Glue 提取、转换和加载（ETL）任务访问通过 Amazon Lake Formation 跨账户授权分享的数据目录表的底层数据时，存在额外 Amazon CloudTrail 日志记录行为。

为了本次讨论，共享表的 Amazon 账户是拥有者账户，与该表的共享目标账户是收件人账户。当收件人账户中的 ETL 任务访问拥有者账户中表的数据时，添加到收件人账户日志中的数据访问 CloudTrail 事件将复制到拥有者账户的 CloudTrail 日志。这样，拥有者账户可以跟踪不同收件人账户的数据访问情况。默认情况下，CloudTrail 事件不包括人类可读的委托人标识符（委托人 ARN）。收件人账户中的管理员可以选择在日志中包含委托人 ARN。

有关更多信息，请参阅 Amazon Lake Formation 开发人员指南中的跨账户 CloudTrail 日志记录。

跨账户资源所有权和账单

当一个 Amazon 账户（账户 A）中的用户在其他账户（账户 B）中创建新资源（如数据库）时，该资源的所有者将为账户 B，即创建资源所在的账户。账户 B 中的管理员将自动获得访问这一新资源的完整权限，包括读取、写入和向第三个账户授予访问权限。账户 A 中的用户只有获得账户 B 授予的相应权限后，才能访问他们刚刚创建的资源。

与新资源直接关联的存储成本和其他成本将计入账户 B，即资源所有者。创建资源的用户的请求成本将计入请求者的账户，即账户 A。

有关 Amazon Glue 计费和定价的更多信息，请参阅 Amazon 定价原理。

跨账户访问限制

Amazon Glue 跨账户访问具有以下限制：