Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

调试细粒度访问控制 (FGAC) 作业和会话

Amazon Glue 使用两个 Spark 资源配置文件运行启用了 Lake Formation 的作业或会话。用户配置文件运行您提供的代码，而系统配置文件强制执行 Lake Formation 策略。您可以随时访问作为用户配置文件运行的任务的日志。有关更多信息，请参阅 日志记录。

要对系统配置文件中出现的故障进行故障排除，请使用 GetSystemLogsForJobRun 和 GetSystemLogsForSession API 操作。每个操作都会返回一个 SystemLogsUrl 值，该值是一个预签名的 Amazon S3 URL，它为您提供系统日志，即系统配置文件驱动程序为该作业运行或会话生成的日志。

预签名 URL 的有效期为 1 小时。您可以在作业运行或会话仍处于活动状态时调用这些操作。

先决条件

系统日志仅适用于满足以下所有要求的作业运行和会话：

如果作业运行或会话未启用细粒度访问控制，则该操作将返回 InvalidInputException。

所需的权限

调试启用了 Lake Formation 的作业运行或会话的主体必须具有以下权限。账户中的所有数据库和表都需要 glue:GetDatabases 和 glue:SearchTables 权限。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AccessSystemLogs",
            "Effect": "Allow",
            "Action": [
                "glue:GetJob",
                "glue:GetJobRun",
                "glue:GetSession",
                "glue:GetSystemLogsForJobRun",
                "glue:GetSystemLogsForSession",
                "glue:GetDatabases",
                "glue:SearchTables"
            ],
            "Resource": [
                "arn:aws:glue:region:account-id:catalog",
                "arn:aws:glue:region:account-id:database/*",
                "arn:aws:glue:region:account-id:table/*/*",
                "arn:aws:glue:region:account-id:job/*",
                "arn:aws:glue:region:account-id:session/*"
            ]
        }
    ]
}

如果缺少这些权限中的任何一个，则该操作将返回一个 AccessDeniedException，并列出该缺少的操作。

检索系统日志

要获取作业运行的系统日志，请使用作业名称和作业运行 ID 调用 GetSystemLogsForJobRun。

aws glue get-system-logs-for-job-run \
    --job-name my-fgac-job \
    --run-id jr_EXAMPLE1234567890 \
    --region region

要获取会话的系统日志，请使用会话 ID 调用 GetSystemLogsForSession。

aws glue get-system-logs-for-session \
    --id my-fgac-session \
    --region region

这两个操作都会返回预签名 Amazon S3 URL。

{
    "SystemLogsUrl": "presigned-url"
}

打开 URL 获取日志。

使用客户托管密钥加密系统日志

要使用客户托管 Amazon KMS 密钥加密系统日志，请在创建作业或会话时将 --system-logs-kms-key-arn 参数设置为密钥的 ARN。

作业或会话运行时角色必须具有基于身份的策略，该策略可在密钥上授予 kms:Encrypt、kms:Decrypt、kms:GenerateDataKey、kms:ReEncryptFrom、kms:ReEncryptTo 和 kms:DescribeKey。仅凭授予这些权限的密钥策略是不够的。如果没有基于身份的策略，作业运行或会话将无法启动。

调用 GetSystemLogsForJobRun 或 GetSystemLogsForSession 的主体还必须具有密钥的 kms:Decrypt、kms:DescribeKey 和 kms:GenerateDataKey。否则，操作失败，系统会报告 Amazon KMS 权限缺失。

注意事项