本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 设置跨区域表访问权限


要从其他区域访问数据，您需要先在注册 Amazon S3 数据位置的区域中设置数据目录数据库和表。您可以与您的账户中或其他账户中的主体共享数据目录数据库和表。然后，您需要创建数据湖管理员，他们可以创建指向用户查询数据的区域中目标共享数据位置的资源链接。

**从不同区域查询同一个账户内的共享数据**

在本节中，目标共享表区域是区域 A，用户从区域 B 运行查询。

1. 

**区域 A 中的账户设置（您可以在该区域中创建和共享数据）**

   数据湖管理员需要完成以下操作：

   1. 注册 Amazon S3 位置。

      有关更多信息，请参阅 [向数据湖添加 Amazon S3 位置](register-data-lake.md)。

   1.  在账户中创建数据库和表。这也可以由有权创建数据库和表的非管理用户来完成。

   1. 使用 `Grantable permissions` 向主体授予对表的数据权限。

      有关更多信息，请参阅[授予对数据目录资源的权限](granting-catalog-permissions.md)。

1. 

**在区域 B（您访问数据的位置）中设置账户**

   数据湖管理员需要完成以下操作：

   1. 在区域 B 中创建指向区域 A 中目标共享表的资源链接。在**创建表**屏幕上指定**共享表所有者区域**。  
![\[Create table interface showing options for resource link creation and shared table details.\]](http://docs.amazonaws.cn/lake-formation/latest/dg/images/cross-region-resource-link.png)

      有关创建指向数据库和表的资源链接的说明，请参阅[创建资源链接](creating-resource-links.md)。

   1. 向 IAM 主体授予对区域 B 中资源链接的 `Describe` 权限。

      有关授予资源链接权限的更多信息，请参阅[授予资源链接权限](granting-link-permissions.md)。

      区域 B 中的 IAM 主体可以使用 Athena 通过链接查询目标表。

**访问来自不同区域的跨账户数据**

1. 

**制作者/授予者账户设置**

   数据湖管理员需要完成以下操作：

   1. 在区域 A 中设置 producer/grantor 账户

   1.  在区域 A 中注册 Amazon S3 数据位置 

   1.  创建数据库和表。这可以由有权创建表的非管理用户完成。

   1. 使用向该 consumer/grantee 账户授予区域 A 中表的数据权限`Grantable permissions`。

      有关更多信息，请参阅 [跨外部账户 Amazon Web Services 账户 或来自外部账户的 IAM 委托人共享数据目录表和数据库](cross-account-data-share-steps.md)。

1. 

**使用者/被授权者账户设置**

   数据湖管理员需要完成以下操作：

   1.  接受区域 A Amazon RAM 中的资源共享邀请

   1. 在区域 B 中创建指向共享表的资源链接。用户需要在区域 B 中查询表。

   1. 向区域 A 中的 IAM 主体授予对共享表的数据权限。
**注意**  
您必须在共享表的同一区域中授予对该共享表的权限。

   1. 向主体授予对区域 B 中资源链接的权限。

      然后，区域 B 中使用者账户中的主体使用 Athena 查询区域 B 中的共享表。