底层数据控制

当集成Amazon服务请求访问受访问控制的 Amazon S3 位置中的数据时，Lake Formation 会提供临时证书来访问数据。Amazon Lake Formation

要使 Lake Formation 能够控制对 Amazon S3 位置基础数据的访问权限，您需要将该位置注册到 Lake Formation。

注册 Amazon S3 位置后，您可以开始授予以下 Lake Formation 权限：

Lake Formation 数据位置权限控制创建或修改指向特定 Amazon S3 位置的数据目录资源的能力。数据位置权限为数据湖内的位置提供了额外的安全保护。当您向委托人授予CREATE_TABLE或权ALTER限时，您还授予数据位置权限以限制委托人可以创建或更改元数据表的位置。

Amazon S3 位置是存储段或存储段下的前缀，但不是单个 Amazon S3 对象。

您可以使用 Lake Formation 控制台、API 或向委托人授予数据位置权限Amazon CLI。补助的一般形式如下：

grant DATA_LOCATION_ACCESS to principal on S3 location [with grant option]

如果您包括with grant option，则被授权者可以将权限授予其他委托人。

回想一下，Lake Formation 权限始终与Amazon Identity and Access Management (IAM) 权限结合使用，以实现精细的访问控制。对于底层 Amazon S3 数据的读取/写入权限，IAM 权限的授予方式如下：

注册地点时，您需要指定一个 IAM 角色来授予对该位置的读取/写入权限。Lake Formation 在向集成Amazon服务提供临时证书时扮演了这个角色。典型角色可能附加了以下策略，其中注册的位置是存储桶awsexamplebucket。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Lake Formation 提供了一个服务相关角色，您可以在注册期间使用该角色自动创建这样的策略。有关更多信息，请参阅对 Lake Formation 使用服务相关角色：

因此，注册 Amazon S3 站点会授予该位置所需的 IAMs3: 权限，该权限由用于注册该位置的角色指定。

要获得基础数据的读取/写入权限，除了 Lake Formation 权限外，委托人还需要以下 IAM 权限：

lakeformation:GetDataAccess

获得此权限后，Lake Formation 将授权访问数据的临时凭证请求。

此权限包含在中的建议策略中Lake Formation 角色和 IAM 权限参考。

总而言之，为了使Lake Formation的负责人能够在Lake Formation权限控制的访问权限下读取和写入基础数据：

有关数据位置权限的更多信息

数据位置权限控制对数据目录数据库和表的创建和更新操作的结果。规则如下：

请考虑下图中显示的场景。

在此示意图中：

以下是用户datalake_user尝试在特定位置的特定数据库中创建目录表时的结果。

有关更多信息，请参阅下列内容：