导入

将数据集从 Athena 导入到 Data Wrangler

1. 登录 Amazon SageMaker 控制台。

2. 选择 Studio。

3. 选择启动应用程序。

4. 从下拉列表中选择 Studio。

5. 选择主页图标。

6. 选择数据。

7. 选择 Data Wrangler。

8. 选择导入数据。

9. 在可用下，选择 Amazon Athena。

10. 对于数据目录，选择一个数据目录。

11. 使用数据库下拉列表选择要查询的数据库。选择数据库后，您可以使用详细信息下列出的表预览数据库中的所有表。

12. （可选）选择高级配置。

    1. 选择一个工作组。

    2. 如果您的工作组尚未强制使用 Amazon S3 输出位置，或者您没有使用工作组，请为查询结果的 Amazon S3 位置指定一个值。

    3. （可选）对于数据留存期，选中该复选框以设置数据留存期，并指定在删除数据之前存储数据的天数。

    4. （可选）默认情况下，Data Wrangler 会保存连接。可以选择取消选中该复选框，此时不保存连接。

13. 对于采样，选择一种采样方法。选择无可关闭采样。

14. 在查询编辑器中输入您的查询，然后使用运行按钮运行查询。查询成功后，可以在编辑器下预览您的结果。

    注意

    Salesforce 数据使用 timestamptz 类型。如果您要查询从 Salesforce 导入到 Athena 的时间戳列，请将该列中的数据转换为 timestamp 类型。以下查询将时间戳列转换为正确的类型。

    
    # cast column timestamptz_col as timestamp type, and name it as timestamp_col
    select cast(timestamptz_col as timestamp) as timestamp_col from table
                            

15. 要导入查询结果，请选择导入。

要授予管理生命周期配置的权限，请执行以下操作。

1. 登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

2. 选择角色。

3. 在搜索栏中，指定 Amazon SageMaker Studio Classic 正在使用的亚马逊 SageMaker 执行角色。

4. 选择角色 。

5. 选择添加权限。

6. 选择创建内联策略。

7. 对于服务，指定 S3 并选择该项。

8. 在 “读取” 部分下，选择GetLifecycle配置。

9. 在 “写入” 部分下，选择PutLifecycle配置。

10. 对于资源，选择特定。

11. 对于操作，选择权限管理旁边的箭头图标。

12. 选择PutResource策略。

13. 对于资源，选择特定。

14. 选中此账户中的任何资源旁边的复选框。

15. 选择查看策略。

16. 对于名称，指定一个名称。

17. 选择创建策略。

连接到 Amazon Redshift 集群

1. 登录 Amazon SageMaker 控制台。

2. 选择 Studio。

3. 选择启动应用程序。

4. 从下拉列表中选择 Studio。

5. 选择主页图标。

6. 选择数据。

7. 选择 Data Wrangler。

8. 选择导入数据。

9. 在可用下，选择 Amazon Athena。

10. 选择 Amazon Redshift。

11. 为类型选择临时凭证 (IAM)。

12. 输入连接名称。这是 Data Wrangler 用来标识该连接的名称。

13. 输入集群标识符以指定要连接的集群。注意：仅输入集群标识符，而不要输入 Amazon Redshift 集群的完整端点。

14. 输入要连接到的数据库的数据库名称。

15. 输入数据库用户以标识要用于连接数据库的用户。

16. 对于 UNLOAD IAM 角色，输入 Amazon Redshift 集群在向 Amazon S3 移动和写入数据时应代入的角色的 IAM 角色 ARN。有关此角色的更多信息，请参阅《亚马逊 Redshift 管理指南》中的授权亚马逊 Redshift 代表您访问 Amazon 其他服务。

17. 选择连接。

18. （可选）对于 Amazon S3 输出位置，指定用于存储查询结果的 S3 URI。

19. （可选）对于 KMS 密钥 ID，指定 Amazon KMS 密钥的 ARN 或别名。下图显示了在 Amazon Web Services Management Console中可以找到任一密钥的位置。

    

从 Amazon Redshift 查询和导入数据

1. 从数据来源中选择要查询的连接。

2. 选择架构。要了解有关 Amazon Redshift 架构的更多信息，请参阅《Amazon Redshift 数据库开发人员指南》中的架构。

3. （可选）在高级配置下，指定要使用的采样方法。

4. 在查询编辑器中输入您的查询，然后选择运行以运行查询。查询成功后，可以在编辑器下预览您的结果。

5. 选择导入数据集以导入已查询的数据集。

6. 输入数据集名称。如果您添加的数据集名称中包含空格，则在导入您的数据集时，这些空格将替换为下划线。

7. 选择添加。

要编辑数据集，请执行以下操作。

1. 导航到您的 Data Wrangler 流。

2. 选择来源 – 采样旁边的 + 号。

3. 更改要导入的数据。

4. 选择应用

要在 VPC 内启动 Studio Classic，请执行以下操作。

1. 导航到 SageMaker 控制台，网址为 https://console.aws.amazon.com/sagemaker/。

2. 选择启动 SageMaker 工作室经典版。

3. 选择标准设置。

4. 对于默认执行角色，选择用于设置 Studio Classic 的 IAM 角色。

5. 选择您启动 Amazon EMR 集群的 VPC。

6. 对于子网，选择私有子网。

7. 对于安全组，指定用于在您的 VPC 之间进行控制的安全组。

8. 选择仅 VPC。

9. （可选） Amazon 使用默认加密密钥。您还可以指定另一个 Amazon Key Management Service 密钥来加密数据。

10. 选择下一步。

11. 在 Studio 设置下，选择最适合您的配置。

12. 选择 “下一步” 可跳过 “ SageMaker 画布” 设置。

13. 选择下一步可跳过 RStudio 设置。

要创建集群，请执行以下操作。

1. 导航到 Amazon Web Services Management Console。

2. 在搜索栏中指定 Amazon EMR。

3. 选择创建集群。

4. 对于集群名称，指定您的集群名称。

5. 对于版本，选择集群的发布版本。

   注意

   Amazon EMR 支持以下版本的自动终止功能：

   • 对于 6.x 发行版，版本 6.1.0 或更高版本

   • 对于 5.x 发行版，版本 5.30.0 或更高版本

   自动终止功能会阻止空闲集群运行，可防止产生成本。

6. （可选）对于应用程序，选择 Presto。

7. 选择您在集群上运行的应用程序。

8. 在联网下，对于硬件配置，指定硬件配置设置。

   重要

   对于网络，请选择运行 Amazon SageMaker Studio Classic 的 VPC 并选择私有子网。

9. 在安全和访问权限下，指定安全设置。

10. 选择创建。

要从集群导入数据，请执行以下操作。

1. 打开 Data Wrangler 流。

2. 选择 Create Connection (创建连接)。

3. 选择 Amazon EMR。

4. 请执行以下操作之一。

   • （可选）对于密钥 ARN，指定集群内数据库的 Amazon 资源编号 (ARN)。密钥可提供额外的安全措施。有关密钥的更多信息，请参阅什么是 Amazon Secrets Manager？ 有关为集群创建密钥的信息，请参阅 为您的集群创建 Amazon Secrets Manager 密钥。

     重要

     如果使用 IAM 运行时角色进行身份验证，则必须指定密钥。

   • 从下拉列表中，选择一个集群。

5. 选择下一步。

6. 对于为 example-cluster-name 集群选择端点，选择查询引擎。

7. （可选）选择保存连接。

8. 选择下一步，选择登录，然后选择以下项之一：

   • 不使用身份验证

   • LDAP

   • IAM

9. 对于登录到 example-cluster-name 集群，指定该集群的用户名和密码。

10. 选择连接。

11. 在查询编辑器中，指定 SQL 查询。

12. 选择运行。

13. 选择 Import（导入）。

要将您的凭证存储为密钥，请执行以下操作。

1. 导航到 Amazon Web Services Management Console。

2. 在搜索栏中，指定 Secrets Manager。

3. 选择Amazon Secrets Manager。

4. 选择存储新密钥。

5. 对于密钥类型，请选择其他密钥类型。

6. 在键/值对下，选择纯文本。

7. 对于运行 Hive 的集群，可以使用以下模板进行 IAM 身份验证。

   
   {"jdbcURL": ""
    "iam_auth": {"endpoint": "jdbc:hive2://", #required
                   "dns": "ip-xx-x-xxx-xxx.ec2.internal", #required 
                   "port": "10000", #required
                 "cluster_id": "j-xxxxxxxxx", #required
                 "iam_role": "arn:aws:iam::xxxxxxxx:role/xxxxxxxxxxxx", #optional
                 "truststore_path": "/etc/alternatives/jre/lib/security/cacerts", #optional
                 "truststore_password": "changeit" #optional
                 
                 }}                               
                               

   注意

   导入数据后，可以对数据进行转换。然后，将转换后的数据导出到特定位置。如果您使用 Jupyter 笔记本将转换后的数据导出到 Amazon S3，则必须使用上述示例中指定的信任库路径。

要将 JDBC URL 存储为密钥，请执行以下操作。

1. 导航到 Amazon Web Services Management Console。

2. 在搜索栏中，指定 Secrets Manager。

3. 选择Amazon Secrets Manager。

4. 选择存储新密钥。

5. 对于密钥类型，请选择其他密钥类型。

6. 对于键/值对，将 jdbcURL 指定为键，并指定有效的 JDBC URL 作为值。

   有效 JDBC URL 的格式取决于您是否使用身份验证，以及是使用 Hive 还是 Presto 作为查询引擎。下面的列表显示了适用于可能的不同配置的有效 JBDC URL 格式。

   • Hive，不进行身份验证 – jdbc:hive2://emr-cluster-master-public-dns:10000/;

   • Hive，使用 LDAP 身份验证 – jdbc:hive2://emr-cluster-master-public-dns-name:10000/;AuthMech=3;UID=david;PWD=welcome123;

   • 对于已启用 SSL 的 Hive，JDBC URL 格式取决于您是否使用 Java 密钥库文件进行 TLS 配置。Java 密钥库文件有助于验证 Amazon EMR 集群的主节点身份。要使用 Java 密钥库文件，请在 EMR 集群上生成该文件并上传到 Data Wrangler。要生成文件，请在 Amazon EMR 集群 keytool -genkey -alias hive -keyalg RSA -keysize 1024 -keystore hive.jks 上使用以下命令。有关在 Amazon EMR 集群上运行命令的信息，请参阅使用 Amazon Systems Manager保护对 EMR 集群的访问。要上传文件，请选择 Data Wrangler UI 左侧导航栏上的向上箭头。

     下面是已启用 SSL 的 Hive 的有效 JDBC URL 格式：

     • 没有 Java 密钥库文件 – jdbc:hive2://emr-cluster-master-public-dns:10000/;AuthMech=3;UID=user-name;PWD=password;SSL=1;AllowSelfSignedCerts=1;

     • 带有 Java 密钥库文件 – jdbc:hive2://emr-cluster-master-public-dns:10000/;AuthMech=3;UID=user-name;PWD=password;SSL=1;SSLKeyStore=/home/sagemaker-user/data/Java-keystore-file-name;SSLKeyStorePwd=Java-keystore-file-passsword;

   • Presto，不使用身份验证 – jdbc:presto://emr-cluster-master-public-dns:8889/;

   • 对于已启用 LDAP 身份验证和 SSL 的 Presto，JDBC URL 格式取决于您是否使用 Java 密钥库文件进行 TLS 配置。Java 密钥库文件有助于验证 Amazon EMR 集群的主节点身份。要使用 Java 密钥库文件，请在 EMR 集群上生成该文件并上传到 Data Wrangler。要上传文件，请选择 Data Wrangler UI 左侧导航栏上的向上箭头。有关为 Presto 创建 Java 密钥库文件的信息，请参阅适用于 TLS 的 Java 密钥库文件。有关在 Amazon EMR 集群上运行命令的信息，请参阅使用 Amazon Systems Manager保护对 EMR 集群的访问。

     • 没有 Java 密钥库文件 – jdbc:presto://emr-cluster-master-public-dns:8889/;SSL=1;AuthenticationType=LDAP Authentication;UID=user-name;PWD=password;AllowSelfSignedServerCert=1;AllowHostNameCNMismatch=1;

     • 带有 Java 密钥库文件 – jdbc:presto://emr-cluster-master-public-dns:8889/;SSL=1;AuthenticationType=LDAP Authentication;SSLTrustStorePath=/home/sagemaker-user/data/Java-keystore-file-name;SSLTrustStorePwd=Java-keystore-file-passsword;UID=user-name;PWD=password;

要向 Secrets Manager 授予权限，请执行以下操作。

1. 登录 Amazon Web Services Management Console 并打开 IAM 控制台，网址为 https://console.aws.amazon.com/iam/。

2. 选择角色。

3. 在搜索栏中，指定 Amazon SageMaker Studio Classic 正在使用的亚马逊 SageMaker 执行角色。

4. 选择角色 。

5. 选择添加权限。

6. 选择创建内联策略。

7. 对于服务，指定 Secrets Manager 并选择该项。

8. 对于操作，选择权限管理旁边的箭头图标。

9. 选择PutResource策略。

10. 对于资源，选择特定。

11. 选中此账户中的任何资源旁边的复选框。

12. 选择查看策略。

13. 对于名称，指定一个名称。

14. 选择创建策略。

要从 Databricks 导入数据，请执行以下操作。

1. 登录 Amazon SageMaker 控制台。

2. 选择 Studio。

3. 选择启动应用程序。

4. 从下拉列表中选择 Studio。

5. 从 Data Wrangler 流的导入数据选项卡中，选择 Databricks。

6. 指定以下字段：

   • 数据集名称 – 要在 Data Wrangler 流中用于数据集的名称。

   • 驱动程序 – com.simba.spark.jdbc.Driver。

   • JDBC URL – Databricks 数据库的 URL。不同 Databricks 实例的 URL 格式可能有所不同。有关查找 URL 以及在其中指定参数的信息，请参阅 JDBC 配置和连接参数。以下是如何格式化网址的示例：jdbc: spark: //aws-sagemaker-datawrangler.cloud.databricks.com: 443/default；transportmode=http；ssl=1；httppath=sql/protocolv1/o/3122619508517275/0909-200301-cut318；=3；UID= token；pwd= person= al-访问令牌。AuthMech

     注意

     可以指定包含 JDBC URL 的密钥 ARN，而不是指定 JDBC URL 本身。密钥必须包含以下格式的键/值对：jdbcURL:JDBC-URL。有关更多信息，请参阅什么是 Secrets Manager？

7. 指定 SQL SELECT 语句。

   注意

   Data Wrangler 不支持查询中的公用表表达式 (CTE) 或临时表。

8. 对于采样，选择一种采样方法。

9. 选择运行。

10. （可选）对于预览，选择齿轮以打开分区设置。

    1. 指定分区的数量。如果指定分区数，可以按列进行分区：

       • 输入分区数 – 指定一个大于 2 的值。

       • （可选）按列分区 – 指定以下字段。只有在输入分区数中指定值后，才能按列进行分区。

         • 选择列 – 选择要用于数据分区的列。列的数据类型必须为数字或日期。

         • 上限 – 根据您指定的列中的值，上限是正在分区中使用的值。指定的值不会更改正在导入的数据。只会影响导入的速度。为了获得最佳性能，请指定接近列最大值的上限。

         • 下限 – 根据您指定的列中的值，下限是正在分区中使用的值。指定的值不会更改正在导入的数据。只会影响导入的速度。为了获得最佳性能，请指定接近列最小值的下限。

11. 选择 Import（导入）。

1. 导航到 Salesforce 登录页面。

2. 对于快速查找，指定我的域。

3. 将当前我的域 URL 的值复制到文本文件中。

4. 将 https:// 添加到 URL 的开头。

要从 Salesforce 获取登录凭证并提供对 Data Wrangler 的访问权限，请执行以下操作。

1. 导航到您的 Salesforce 域 URL 并登录到您的账户。

2. 选择齿轮图标。

3. 在显示的搜索栏中，指定应用程序管理器。

4. 选择新建连接的应用程序。

5. 指定以下字段：

   • 连接的应用程序名称 – 您可以指定任何名称，但我们建议选择包含 Data Wrangler 的名称。例如，可以指定 Salesforce Data Cloud Data Wrangler Integration。

   • API 名称 – 使用默认值。

   • 联系人电子邮件 – 指定电子邮件地址。

   • 在 API 标题（启用 OAuth 设置）下，选中复选框以激活 OAuth 设置。

   • 对于回调网址，请指定亚马逊 SageMaker Studio 经典版网址。要获取 Studio Classic 的网址，请从中访问 Amazon Web Services Management Console 并复制网址。

6. 在选定 OAuth 作用域下，将以下内容从可用 OAuth 作用域移至选定 OAuth 作用域：

   • 通过 API 管理用户数据 (api)

   • 随时执行请求 (refresh_token, offline_access)

   • 对 Salesforce Data Cloud 数据执行 ANSI SQL 查询 (cdp_query_api)

   • 管理 Salesforce 客户数据平台配置文件数据 (cdp_profile_api)

7. 选择保存。保存更改后，Salesforce 会打开一个新页面。

8. 选择继续。

9. 导航到使用者密钥和私有密钥。

10. 选择管理使用者详细信息。Salesforce 会将您重定向到一个新页面，其中您可能需要通过双因素身份验证。

11. 重要

    将使用者密钥和私有密钥复制到文本编辑器中。您需要该信息，才能将数据云连接到 Data Wrangler。

12. 导航回管理连接的应用程序。

13. 导航到连接的应用程序名称和您的应用程序名称。

14. 选择管理。

    1. 选择编辑策略。

    2. 将 IP 放宽更改为放宽 IP 限制。

    3. 选择保存。

要为您的用户提供权限，请执行以下操作。

1. 导航到设置主页。

2. 在左侧导航栏中，搜索用户，然后选择用户菜单项。

3. 选择包含您的用户名的超链接。

4. 导航到权限集分配。

5. 选择编辑分配。

6. 添加以下权限：

   • 客户数据平台管理员

   • 客户数据平台数据感知专家

7. 选择保存。

获取授权 URL 和令牌 URL

1. 导航到您的 Salesforce 域 URL。

2. 使用以下方法之一获取 URL。如果您使用的是安装有 curl 和 jq 的 Linux 发行版，我们建议您使用仅适用于 Linux 的方法。

   • （仅限 Linux）在终端中指定以下命令。

     
     curl salesforce-domain-URL/.well-known/openid-configuration | \
     jq '. | { authorization_url: .authorization_endpoint, token_url: .token_endpoint }' | \
     jq '.  += { identity_provider: "SALESFORCE", client_id: "example-client-id", client_secret: "example-client-secret" }'                             
                                 

   • 1. 在浏览器中导航到 example-org-URL/.well-known/openid-configuration。

     2. 将 authorization_endpoint 和 token_endpoint 复制到文本编辑器中。

     3. 创建以下 JSON 对象：

        {
          "identity_provider": "SALESFORCE",
          "authorization_url": "example-authorization-endpoint", 
          "token_url": "example-token-endpoint",
          "client_id": "example-consumer-key",
          "client_secret": "example-consumer-secret"
        }
                                            

要创建密钥，请执行以下操作。

1. 导航到 Amazon Secrets Manager 控制台。

2. 选择存储密钥。

3. 选择其他密钥类型。

4. 在键/值对下，选择纯文本。

5. 将空的 JSON 替换为以下配置设置。

   {
     "identity_provider": "SALESFORCE",
     "authorization_url": "example-authorization-endpoint", 
     "token_url": "example-token-endpoint",
     "client_id": "example-consumer-key",
     "client_secret": "example-consumer-secret"
   }                    
                       

6. 选择下一步。

7. 对于密钥名称，指定密钥的名称。

8. 在标签下，选择添加。

   1. 对于键，指定 sagemaker:partner。对于值，我们建议指定一个可能对您的使用案例有用的值。不过，可以指定任何值。

   重要

   您必须创建键。如果不创建键，则无法从 Salesforce 导入数据。

9. 选择下一步。

10. 选择 Store (存储)。

11. 选择您创建的密钥。

12. 记录以下字段：

    • 密钥的 Amazon 资源编号 (ARN)

    • 密钥的名称

要为 Data Wrangler 添加读取权限，请执行以下操作。

1. 导航至 Amazon SageMaker 控制台。

2. 选择域名。

3. 选择您用于访问 Data Wrangler 的域。

4. 选择您的用户配置文件。

5. 在详细信息下，找到执行角色。ARN 的格式如下：arn:aws:iam::111122223333:role/example-role。记下 SageMaker 执行角色。在 ARN 中，这是位于 role/ 后面的全部内容。

6. 导航到 IAM 控制台。

7. 在搜索 IAM 搜索栏中，指定 SageMaker 执行角色的名称。

8. 选择角色 。

9. 选择添加权限。

10. 选择创建内联策略。

11. 选择 JSON 选项卡。

12. 在编辑器中指定以下策略。

    
    {
     "Version": "2012-10-17",
     "Statement": [
         {
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:GetSecretValue",
                 "secretsmanager:PutSecretValue"
             ],
             "Resource": "arn:aws:secretsmanager:*:*:secret:*",
             "Condition": {
                 "ForAnyValue:StringLike": {
                     "aws:ResourceTag/sagemaker:partner": "*"
                 }
             }
         },
         {
             "Effect": "Allow",
             "Action": [
                 "secretsmanager:UpdateSecret"
             ],
             "Resource": "arn:aws:secretsmanager:*:*:secret:AmazonSageMaker-*"
         }
     ]
    }                        
                        

13. 选择查看策略。

14. 对于名称，指定一个名称。

15. 选择创建策略。

要创建生命周期配置并将其添加到 Studio Classic 配置文件中，请执行以下操作。

1. 导航至 Amazon SageMaker 控制台。

2. 选择域名。

3. 选择您用于访问 Data Wrangler 的域。

4. 选择您的用户配置文件。

5. 如果您看到以下应用程序，请将其删除：

   • KernelGateway

   • JupyterKernel

   注意

   删除应用程序会更新 Studio 经典版。更新操作可能需要一段时间才能生效。

6. 在等待更新生效时，选择生命周期配置。

7. 确保你所在的页面显示 Studio Classic 生命周期配置。

8. 选择创建配置。

9. 确保已选择 Jupyter 服务器应用程序。

10. 选择下一步。

11. 对于名称，指定配置的名称。

12. 对于脚本，指定以下脚本：

    
    #!/bin/bash
    set -eux
    
    cat > ~/.sfgenie_identity_provider_oauth_config <<EOL
    {
        "secret_arn": "secrets-arn-containing-salesforce-credentials"
    }
    EOL
    
    
                    

13. 选择提交。

14. 在左侧导航栏中，选择域名。

15. 选择您的域。

16. 选择环境。

17. 在个人 Studio Classic 应用程序的生命周期配置下，选择附加。

18. 选择现有配置。

19. 在 Studio Classic 生命周期配置下，选择您创建的生命周期配置。

20. 选择附加到域。

21. 选中附加的生命周期配置旁边的复选框。

22. 选择设为默认值。

要打开 Studio Classic 并查看其版本，请参阅以下步骤。

1. 按照中的先决条件 步骤通过 Amazon SageMaker Studio Classic 访问 Data Wrangler。

2. 在要用于启动 Studio Classic 的用户旁边，选择启动应用程序。

3. 选择 Studio。

在 Data Wrangler 中使用 Salesforce Data Cloud 的数据创建数据集

1. 登录 Amazon SageMaker 控制台。

2. 选择 Studio。

3. 选择启动应用程序。

4. 从下拉列表中选择 Studio。

5. 选择主页图标。

6. 选择数据。

7. 选择 Data Wrangler。

8. 选择导入数据。

9. 在可用下，选择 Salesforce Data Cloud。

10. 对于连接名称，为与 Salesforce Data Cloud 的连接指定一个名称。

11. 对于组织 URL，指定您的 Salesforce 账户中的组织 URL。可以从管理员那里获取 URL。

12. 选择连接。

13. 指定用于登录 Salesforce 的凭证。

1. 选择开始将 Data Wrangler 注册为应用程序的过程的配置。

2. 为身份提供商中的用户提供对 Data Wrangler 的访问权限。

3. 通过将客户端凭据存储为密钥来启用 OAuth 客户端身份 Amazon Secrets Manager 验证。

4. 使用以下格式指定重定向网址：https://domain- ID .studio。 Amazon Web Services 区域.sagemaker.aws/jupyter/default/lab

   重要

   您正在指定用于运行 Data Wrangler 的 Amazon SageMaker 域名 ID。 Amazon Web Services 区域

   重要

   您必须为每个亚马逊 SageMaker 域名以及运行 Data Wrangler 的 Amazon Web Services 区域 位置注册一个 URL。来自某个网域但未为 Amazon Web Services 区域 其设置重定向网址的用户将无法通过身份提供商进行身份验证以访问 Snowflake 连接。

5. 确保 Data Wrangler 应用程序允许使用授权代码和刷新令牌授予类型。

要设置服务器，请执行以下操作。除最后一个步骤外，在所有其他步骤中，您在 Snowflake 中工作。

1. 开始设置服务器或 API。

2. 将授权服务器配置为使用授权代码和刷新令牌授予类型。

3. 指定访问令牌的生命周期。

4. 设置刷新令牌空闲超时。空闲超时是指刷新令牌在未使用的情况下失效的时间。

   注意

   如果在 Data Wrangler 中调度作业，我们建议将空闲超时时间设置为大于处理作业的频率。否则，由于刷新令牌在运行之前就已过期，某些处理作业可能会失败。刷新令牌到期后，用户必须通过 Data Wrangler 访问他们与 Snowflake 建立的连接，以便重新进行身份验证。

5. 将 session:role-any 指定为新范围。

   注意

   对于 Azure AD，复制作用域的唯一标识符。Data Wrangler 要求您提供标识符。

6. 重要

   在 Snowflake 的外部 OAuth 安全集成中，启用 external_oauth_any_role_mode。

1. 要允许您的数据科学家从 SageMaker Data Wrangler 访问 Snowflake，请为他们提供以下内容之一：

   • 对于基本身份验证，提供 Snowflake 账户名称、用户名和密码。

   • 对于 OAuth，提供身份提供商中的用户名和密码。

   • 对于 ARN，提供 Secrets Manager 密钥的 Amazon 资源名称 (ARN)。

   • 使用 Amazon Secrets Manager 创建的密钥以及密钥的 ARN。如果您选择此选项，请通过以下步骤为 Snowflake 创建密钥。

     重要

     如果您的数据科学家使用 Snowflake 凭证（用户名和密码）选项连接到 Snowflake，则可以使用 Secrets Manager 将凭证存储在密钥中。Secrets Manager 会作为最佳实践安全计划的一部分轮换密钥。只有在设置 Studio Classic 用户配置文件时配置了 Studio Classic 角色后，才能访问在 Secrets Manager 中创建的密钥。这要求您将此权限添加到附加到您的 Studio Classic 角色的策略中。secretsmanager:PutResourcePolicy

     我们强烈建议您将角色策略范围限定为对不同的 Studio Classic 用户组使用不同的角色。可以为 Secrets Manager 密钥添加其他基于资源的权限。有关您可以使用的条件密钥，请参阅管理密钥策略。

     有关创建密钥的信息，请参阅创建密钥。您需要为自己创建的密钥付费。

2. （可选）向数据科学家提供您使用以下过程创建的存储集成的名称：在 Snowflake 中创建云存储集成。这是新集成的名称，在您运行的 CREATE INTEGRATION SQL 命令中称为 integration_name，如以下代码段所示：

   
     CREATE STORAGE INTEGRATION integration_name
     TYPE = EXTERNAL_STAGE
     STORAGE_PROVIDER = S3
     ENABLED = TRUE
     STORAGE_AWS_ROLE_ARN = 'iam_role'
     [ STORAGE_AWS_OBJECT_ACL = 'bucket-owner-full-control' ]
     STORAGE_ALLOWED_LOCATIONS = ('s3://bucket/path/', 's3://bucket/path/')
     [ STORAGE_BLOCKED_LOCATIONS = ('s3://bucket/path/', 's3://bucket/path/') ]
                                

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "glue:SearchTables",
            "Resource": [
                "arn:aws:glue:*:*:table/*/*",
                "arn:aws:glue:*:*:database/*",
                "arn:aws:glue:*:*:catalog"
            ]
        }
    ]
}   

要连接到数据来源，请执行以下操作。

1. 登录 Amazon SageMaker 控制台。

2. 选择 Studio。

3. 选择启动应用程序。

4. 从下拉列表中选择 Studio。

5. 选择主页图标。

6. 选择数据。

7. 选择 Data Wrangler。

8. 选择导入数据。

9. 在可用下，选择数据来源。

10. 在名称字段中，指定连接名称。

11. （可选）选择高级配置。

    1. 选择一个工作组。

    2. 如果您的工作组尚未强制使用 Amazon S3 输出位置，或者您没有使用工作组，请为查询结果的 Amazon S3 位置指定一个值。

    3. （可选）对于数据留存期，选中该复选框以设置数据留存期，并指定在删除数据之前存储数据的天数。

    4. （可选）默认情况下，Data Wrangler 会保存连接。可以选择取消选中该复选框，此时不保存连接。

12. 选择连接。

13. 指定查询。

    注意

    为了协助您指定查询，可以在左侧导航面板上选择一个表。Data Wrangler 将显示表名和表的预览。选择表名称旁边的图标来复制名称。可以在查询中使用表名。

14. 选择运行。

15. 选择导入查询。

16. 对于数据集名称，指定数据集的名称。

17. 选择添加。