授予数据过滤器权限 - Amazon Lake Formation
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

授予数据过滤器权限

你可以授予SELECT、DESCRIBE和DROPLake Formation 对委托人的数据过滤器权限。

起初，只有您可以查看为表创建的数据筛选器。要使另一个委托人能够查看数据筛选器并授予数据目录权限，您必须执行以下任一操作：

  • GrantSELECT在带有授权选项的委托人的表格上，然后将数据筛选器应用于授权。

  • 授予DESCRIBE要么DROP向委托人授予数据筛选权限。

你可以授予SELECT对外部的许可Amazonaccount. 然后，该账户中的数据湖管理员可以将该权限授予账户中的其他委托人。授予外部帐户时，您必须包括授予选项，以便外部账户的管理员可以进一步将权限级联给他/她账户中的其他用户。授予账户中的委托人时，使用授权选项授予权限是可选的。

您可以使用Amazon Lake Formation控制台、API 或Amazon Command Line Interface(Amazon CLI)。

Console

  1. 登录到Amazon Web Services Management Console在处打开 Lake Formation 控制台https://console.aws.amazon.com/lakeformation/.

  2. 在导航窗格中的下，Permissions (权限)，选择数据湖权限.

  3. 在存储库的Permissions (权限)在页面中，数据权限部分中，选择Grant.

  4. 在存储库的授予数据权限页面中，选择要向其授予权限的委托人。

  5. 在 LF-Tags 或目录资源部分中，选择命名数据目录资源. 然后选择要授予权限的数据库、表和数据筛选器。

    图像是控制台中权限页面的屏幕截图。此时将显示 “LF 标签或目录资源” 部分，并选择了 “命名数据目录资源” 选项。在数据库下，提供了一个值：cloudtrail. 对于表格，提供了一个值：cloudtrail-logs-aws_logs. 对于数据过滤器，提供了一个值：cloudtrail_lakeformation_filter.

  6. 在数据筛选权限部分中，选择要授予所选承担者的权限。

    图像是 Lake Formation 控制台中 “权限” 页面上 “数据筛选器权限” 部分的屏幕截图。对于 “数据筛选器权限”，未选择 “选择” 权限，并选择 “描述和删除” 权限。在 “授予权限” 下，没有选择任何权限（选择、描述、删除）。
Amazon CLI

  • 输入grant-permissions命令。指定DataCellsFilter(对于 )resource参数，然后指定DESCRIBE要么DROP(对于 )Permissions参数以及（可选）PermissionsWithGrantOption参数。

    以下示例授予：DESCRIBE向用户提供授予选项datalake_user1在数据过滤器上restrict-pharma，它属于orders表格中的sales中的数据库Amazon账户 1111-2222-3333。

    aws lakeformation grant-permissions --cli-input-json file://grant-params.json

    以下是文件内容grant-params.json.

    {
    "Principal": {"DataLakePrincipalIdentifier": "arn:aws:iam::111122223333:user/datalake_user1"},
    "Resource": {
        "DataCellsFilter": {
            "TableCatalogId": "111122223333",
            "DatabaseName": "sales",
            "TableName": "orders",
            "Name": "restrict-pharma"
        }
    },
    "Permissions": ["DESCRIBE"],
    "PermissionsWithGrantOption": ["DESCRIBE"]
}