2026 年 6 月 30 日之后，Amazon Redshift 不再支持使用 Python UDF。我们将分阶段开始执行。有关 Python 生命周期终止和迁移选项详情的更多信息，请参阅 2025 年 6 月 30 日发布的博客文章
将 Amazon IAM Identity Center 身份验证与增强型 VPC 路由结合使用
开启增强型 VPC 路由后，Redshift 会通过您的虚拟私有云（VPC）路由流量，而非通过互联网。这包括 Redshift 为对 Amazon IAM Identity Center 用户进行身份验证而发出的调用。无论用户是以交互方式登录，还是使用通过可信身份传播获得的 Amazon IAM Identity Center 令牌进行连接，均适用此规则。要使这些连接获得成功，Redshift 必须能够从您的 VPC 访问 Amazon IAM Identity Center。接口 VPC 端点是提供这种连接的推荐方式。它们可让您的预调配集群或 Amazon Redshift Serverless 工作组通过 Amazon 网络访问 Amazon IAM Identity Center。
重要
这些要求适用于任何通过 Amazon IAM Identity Center 进行身份验证的连接。IAM 用户和本地数据库用户通过不同的机制进行身份验证，不受影响。如果关闭增强型 VPC 路由，则不需要这些端点。
注意
更改增强型 VPC 路由会重新启动预调配集群。有关开启增强型 VPC 路由的更多信息，请参阅启用增强型 VPC 路由。
接口 VPC 端点
在您的集群或工作组所在的 VPC 中创建以下接口 VPC 端点（Amazon PrivateLink）。这两个端点都是必需的。如果其中任一端点缺失或无法访问，Amazon IAM Identity Center 登录将失败。
com.amazonaws.region.sso-oauth-
验证用户在登录时出示的 Amazon IAM Identity Center 访问令牌，并将其交换为限定于 Redshift 会话的令牌。
com.amazonaws.region.identitystore-
从 Amazon IAM Identity Center 身份存储中解析用户及其 Amazon IAM Identity Center 组成员资格。
有关创建接口 VPC 端点的信息，请参阅《Amazon VPC 用户指南》中的创建 VPC 端点。
在创建端点之前，请确认为您的集群或工作组在其中运行的 VPC 开启 DNS hostnames 和 DNS resolution 属性。私有 DNS 名称取决于这两个属性。有关更多信息，请参阅《Amazon VPC 用户指南》中的 VPC 的 DNS 属性。
增强型 VPC 路由要求您的预调配集群或 Redshift Serverless 工作组不可公开访问。
创建每个端点时，请执行以下操作：
-
开启私有 DNS 名称：Redshift 使用这些服务的标准 DNS 名称连接到这些服务。如果没有私有 DNS 名称，这些名称将继续解析为公有地址，调用也不会路由到您的端点。
-
在 Amazon IAM Identity Center 区域中创建端点：Amazon IAM Identity Center 是一项区域性服务。在您的 Amazon IAM Identity Center 实例运行所在的区域中创建这些端点。如果您的集群或工作组在其它区域运行，且您未使用 Amazon IAM Identity Center 多区域复制，请使用跨区域端点选项，以便端点能够访问 Amazon IAM Identity Center 区域。
-
选择相同可用区中的子网：在您的集群或工作组使用的可用区中选择子网。
-
支持入站 HTTPS：附加到每个端点的安全组必须支持 TCP 443 端口上来自您的集群或工作组子网的入站流量。
-
保留默认端点策略：默认策略支持完全访问。如果您的组织需要限制性端点策略，请按主体而非操作列表来限定其范围。然后，验证登录是否仍然成功。
使用 Amazon Network Firewall
Amazon Network Firewall 为可选的。如果您使用 Amazon Network Firewall 而非使用接口 VPC 端点来筛选出站流量，则防火墙策略必须支持 Amazon IAM Identity Center 服务域。否则，当 Redshift 无法访问这些域时，登录将失败。将以下域添加到防火墙的允许列表中，将 region 替换为您的 Amazon IAM Identity Center 区域：
oidc.region.amazonaws.com-
验证 Amazon IAM Identity Center 访问令牌，并将其交换为限定于您的 Redshift 会话的令牌。
.sso.region.amazonaws.com-
访问 Amazon IAM Identity Center 服务，以解析 Amazon IAM Identity Center 应用程序及其分配。
identitystore.region.amazonaws.com-
解析用户及其 Amazon IAM Identity Center 组成员资格。
如果您的防火墙使用默认拒绝策略，则还必须支持 Redshift 在增强型 VPC 路由下用于常规操作的域，例如 Amazon S3；如果您查询数据湖，则还必须支持 Amazon Glue。有关更多信息，请参阅 Amazon Redshift 中的增强型 VPC 路由。
如接口 VPC 端点中所述，使用接口 VPC 端点可将此流量保持在 Amazon 网络上，且无需将相关域加入防火墙允许列表。