指定 AWS Glue 资源 ARN - AWS Glue
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

如果我们为英文版本指南提供翻译,那么如果存在任何冲突,将以英文版本指南为准。在提供翻译时使用机器翻译。

指定 AWS Glue 资源 ARN

在 AWS Glue 中,您可以使用 AWS Identity and Access Management (IAM) 策略控制对资源的访问。在策略中,您可以使用 Amazon 资源名称 (ARN) 标识策略应用到的资源。并非 AWS Glue 中的所有资源都支持 ARN。

数据目录 ARN

数据目录 资源具有层次结构,其中以 catalog 作为根。

arn:aws-cn:glue:region:account-id:catalog

每个 AWS 账户在 AWS 区域中有单个数据目录,以 12 位的账户 ID 作为目录 ID。资源具有与其关联的唯一 ARN,如下表所示。

资源类型 ARN 格式

目录

arn:aws-cn:glue:region:account-id:catalog

例如:arn:aws:glue:us-east-1:123456789012:catalog

数据库

arn:aws-cn:glue:region:account-id:database/database name

例如:arn:aws:glue:us-east-1:123456789012:database/db1

arn:aws-cn:glue:region:account-id:table/database name/table name

例如:arn:aws:glue:us-east-1:123456789012:table/db1/tbl1

用户定义的函数

arn:aws-cn:glue:region:account-id:userDefinedFunction/database name/user-defined function name

例如:arn:aws:glue:us-east-1:123456789012:userDefinedFunction/db1/func1

连接

arn:aws-cn:glue:region:account-id:connection/connection name

例如:arn:aws:glue:us-east-1:123456789012:connection/connection1

要启用精细访问控制,您可以在 IAM 策略和资源策略中使用这些 ARN 来授予或拒绝对特定资源的访问权限。允许在策略中使用通配符。例如,以下 ARN 与数据库 default 中的所有表匹配。

arn:aws:glue:us-east-1:123456789012:table/default/*
重要

对数据目录资源执行所有操作都需要具有对该资源及其所有原级的权限。例如,要为一个表创建分区,需要具有该表的权限以及该表所在数据库和目录的权限。以下示例显示对数据目录中的数据库 PrivateDatabase 中的表 PrivateTable 创建分区所需的权限。

{ "Sid": "GrantCreatePartitions", "Effect": "Allow", "Action": [ "glue:BatchCreatePartitions" ], "Resource": [ "arn:aws:glue:us-east-1:123456789012:table/PrivateDatabase/PrivateTable", "arn:aws:glue:us-east-1:123456789012:database/PrivateDatabase", "arn:aws:glue:us-east-1:123456789012:catalog" ] }

除了对资源及其所有原级的权限外,所有删除操作还需要具有该资源的所有子级的权限。例如,要删除一个数据库,您需要具有该数据库中的所有表和用户定义函数的权限,以及该数据库及其所在目录的权限。以下示例显示删除数据目录中的数据库 PrivateDatabase 所需的权限。

{ "Sid": "GrantDeleteDatabase", "Effect": "Allow", "Action": [ "glue:DeleteDatabase" ], "Resource": [ "arn:aws:glue:us-east-1:123456789012:table/PrivateDatabase/*", "arn:aws:glue:us-east-1:123456789012:userDefinedFunction/PrivateDatabase/*", "arn:aws:glue:us-east-1:123456789012:database/PrivateDatabase", "arn:aws:glue:us-east-1:123456789012:catalog" ] }

概括来说,对 数据目录 资源的操作遵循以下权限规则:

  • 针对目录的操作只需要具有目录的权限。

  • 针对数据库的操作需要具有数据库和目录的权限。

  • 针对数据库的删除操作需要具有数据库和目录的权限,以及数据库中所有表和用户定义函数的权限。

  • 针对表、分区或表版本的操作需要具有表、数据库和目录的权限。

  • 针对用户定义的函数的操作需要具有用户定义的函数、数据库和目录的权限。

  • 针对连接的操作需要具有连接和目录的权限。

非目录对象的 ARN

有些 AWS Glue 资源允许资源级权限使用 ARN 来控制访问。您可以在 IAM 策略中使用这些 ARN 来启用精细访问控制。下表列出了可以包含资源 ARN 的资源。

资源类型 ARN 格式

爬网程序

arn:aws-cn:glue:region:account-id:crawler/crawler-name

例如:arn:aws:glue:us-east-1:123456789012:crawler/mycrawler

作业

arn:aws-cn:glue:region:account-id:job/job-name

例如:arn:aws:glue:us-east-1:123456789012:job/testjob

触发器

arn:aws-cn:glue:region:account-id:trigger/trigger-name

例如:arn:aws:glue:us-east-1:123456789012:trigger/sampletrigger

开发终端节点

arn:aws-cn:glue:region:account-id:devEndpoint/development-endpoint-name

例如:arn:aws:glue:us-east-1:123456789012:devEndpoint/temporarydevendpoint

机器学习转换

arn:aws-cn:glue:region:account-id:mlTransform/transform-id

例如:arn:aws:glue:us-east-1:123456789012:mlTransform/tfm-1234567890

AWS Glue 非目录单数 API 操作的访问控制

AWS Glue 非目录单数 API 操作对单个项目(开发终端节点)执行。示例包括 GetDevEndpointCreateUpdateDevEndpointUpdateDevEndpoint。对于这些操作,策略必须将 API 名称放在 "action" 块中,将资源 ARN 放在 "resource" 块中。

假设您要允许用户调用 GetDevEndpoint 操作。以下策略将所需的最低权限授予名为 myDevEndpoint-1 的终端节点。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "Minimum permissions", "Effect": "Allow", "Action": "glue:GetDevEndpoint", "Resource": "arn:aws:glue:us-east-1:123456789012:devEndpoint/myDevEndpoint-1" } ] }

以下策略允许 UpdateDevEndpoint 访问用通配符 (*) 与 myDevEndpoint- 匹配的资源。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "Permission with wildcard", "Effect": "Allow", "Action": "glue:UpdateDevEndpoint", "Resource": "arn:aws:glue:us-east-1:123456789012:devEndpoint/myDevEndpoint-*" } ] }

您可以合并两个策略,如以下示例所示。您可能会看到名称以 A 开头的任何开发终端节点的 EntityNotFoundException。不过,当您尝试访问其他开发终端节点时,将返回一个访问被拒绝错误。

{ "Version": "2012-10-17", "Statement": [ { "Sid": "Combined permissions", "Effect": "Allow", "Action": [ "glue:UpdateDevEndpoint", "glue:GetDevEndpoint" ], "Resource": "arn:aws:glue:us-east-1:123456789012:devEndpoint/A*" } ] }

检索多个项目的 AWS Glue 非目录 API 操作的访问控制

有些 AWS Glue API 操作检索多个项目(如多个开发终端节点);例如,GetDevEndpoints。对于此操作,您可以仅指定通配符 (*) 资源,而不是特定的 ARN。

例如,要在策略中包含 GetDevEndpoints,资源的范围必须限定为通配符 (*)。单数操作(GetDevEndpointCreateDevEndpointDeleteDevendpoint)的范围也确定为示例中的所有 (*) 资源。

{ "Sid": "Plural API included", "Effect": "Allow", "Action": [ "glue:GetDevEndpoints", "glue:GetDevEndpoint", "glue:CreateDevEndpoint", "glue:UpdateDevEndpoint" ], "Resource": [ "*" ] }

AWS Glue 非目录 Batch Get API 操作的访问控制

有些 AWS Glue API 操作检索多个项目(如多个开发终端节点);例如,BatchGetDevEndpoints。对于此操作,您可以指定一个 ARN 来限制可访问的资源的范围。

例如,要允许访问特定的开发终端节点,请将 BatchGetDevEndpoints 及其资源 ARN 包含在策略中。

{ "Sid": "BatchGet API included", "Effect": "Allow", "Action": [ "glue:BatchGetDevEndpoints" ], "Resource": [ "arn:aws:glue:us-east-1:123456789012:devEndpoint/de1" ] }

利用此策略,您可以成功访问名为 de1 的开发终端节点。但是,如果您尝试访问名为 de2 的开发终端节点,则会返回错误。

An error occurred (AccessDeniedException) when calling the BatchGetDevEndpoints operation: No access to any requested resource.
重要

有关设置 IAM 策略的替代方法(例如,使用 ListBatchGet API 操作),请参阅AWS Glue 带标签的基于身份的 (IAM) 访问控制策略示例