步骤 2：向工作流程角色添加读取 Amazon CloudTrail 日志的权限 - Amazon Lake Formation
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

步骤 2：向工作流程角色添加读取 Amazon CloudTrail 日志的权限

  1. 将下面的内联策略附加到角色 LakeFormationWorkflowRole。该策略授予读取您的 Amazon CloudTrail 日志的权限。将该策略命名为 DatalakeGetCloudTrail。

    要创建 LakeFormationWorkflowRole 角色，请参阅（可选）为工作流程创建 IAM 角色。

    重要

    <your-s3-cloudtrail-bucket>替换为 CloudTrail 数据所在的 Amazon S3 位置。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": ["arn:aws:s3:::<your-s3-cloudtrail-bucket>/*"]
        }
    ]
}

  2. 确认向该角色附加了三项策略。