跨 Amazon 账户注册加密的 Amazon S3 位置

跨 Amazon 账户注册加密的 Amazon S3 位置

1. 在与数据目录相同的 Amazon 账户中，登录 Amazon Web Services 管理控制台并通过 https://console.amazonaws.cn/iam/ 打开 IAM 控制台。

2. 创建新角色或查看符合用于注册位置的角色的要求中要求的现有角色。确保该角色包含授予对该位置的 Amazon S3 权限的策略。

3. 如果 KMS 密钥与数据目录不在同一账户中，请向该角色附加一个内联策略，该策略授予对 KMS 密钥的所需权限。以下是示例策略。将区域和账户 ID 替换为 KMS 密钥所在的区域和账号。将 <key-id> 替换为密钥 ID。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
           "Effect": "Allow",
           "Action": [
               "kms:Encrypt",
               "kms:Decrypt",
               "kms:ReEncrypt*",
               "kms:GenerateDataKey*",
               "kms:DescribeKey"
            ],
           "Resource": "arn:aws:kms:us-east-1:111122223333:key/<key-id>"
           }
       ]
   }
   

4. 在 Amazon S3 控制台上，添加存储桶策略，该策略向该角色授予所需的 Amazon S3 权限。下面是一个示例存储桶策略。将账户 ID 替换为 Data Catalog 的 Amazon 账号，将 <role-name> 替换为您的角色的名称，并将 <bucket-name> 替换为存储桶的名称。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect":"Allow",
               "Principal": {
                   "AWS":"arn:aws:iam::111122223333:role/<role-name>"
               },
               "Action":"s3:ListBucket",
               "Resource":"arn:aws:s3:::<bucket-name>"
           },
           {
               "Effect":"Allow",
               "Principal": {
                   "AWS":"arn:aws:iam::111122223333:role/<role-name>"
               },
               "Action": [
                   "s3:DeleteObject",
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource":"arn:aws:s3:::<bucket-name>/*"
           }
       ]
   }
   

5. 在 Amazon KMS 中，将该角色添加为 KMS 密钥的用户。

   1. 从 https://console.aws.amazon.com/kms 打开 Amazon KMS 控制台。然后，以管理员用户或可以修改用于加密位置的 KMS 密钥策略的用户身份登录。

   2. 在导航窗格中，选择客户自主管理型密钥，然后选择 KMS 密钥的名称。

   3. 在“KMS 密钥详细信息”页面的密钥策略选项卡下，如果未显示密钥策略的 JSON 视图，请选择切换到策略视图。

   4. 在密钥策略部分中，选择编辑，然后将该角色的 Amazon 资源名称 (ARN) 添加到 Allow use of the key 对象，如以下示例所示。

      注意

      如果缺少该对象，请使用示例中显示的权限添加该对象。

              ...
              {
                  "Sid": "Allow use of the key",
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": [
                          "arn:aws:iam::<catalog-account-id>:role/<role-name>"
                      ]
                  },
                  "Action": [
                      "kms:Encrypt",
                      "kms:Decrypt",
                      "kms:ReEncrypt*",
                      "kms:GenerateDataKey*",
                      "kms:DescribeKey"
                  ],
                  "Resource": "*"
              },
              ...
      

      有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的允许其他账户中的用户使用 KMS 密钥。

6. 通过 https://console.aws.amazon.com/lakeformation/ 打开 Amazon Lake Formation 控制台。以数据湖管理员身份登录数据目录 Amazon 账户。

7. 在导航窗格的管理下，选择数据湖位置。

8. 选择注册位置。

9. 在注册位置页面上，对于 Amazon S3 路径，输入位置路径 s3://<bucket>/<prefix>。将 <bucket> 替换为存储桶的名称，并将 <prefix> 替换为该位置路径的其余部分。

   注意

   您必须键入该路径，因为当您选择浏览时，跨账户存储桶不会显示在列表中。

10. 对于 IAM 角色，从步骤 2 中选择角色。

11. 选择注册位置。