使用 Amazon Redshift 查询编辑器 V2 设置可信身份传播

使用以下@@ 权限策略在 Amazon Redshift 集群或无服务器实例所在的账户中创建 IAM 角色。有关更多信息，请参阅 IAM 角色创建。

1. 以下策略示例包含完成本教程所需的必要权限。要使用此策略，请将示例策略italicized placeholder text中的替换为您自己的信息。有关其他说明，请参阅创建策略或编辑策略。

   权限策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowRedshiftApplication",
               "Effect": "Allow",
               "Action": [
                   "redshift:DescribeQev2IdcApplications",
                   "redshift-serverless:ListNamespaces",
                   "redshift-serverless:ListWorkgroups",
                   "redshift-serverless:GetWorkgroup"
               ],
               "Resource": "*"
           },
           {
               "Sid": "AllowIDCPermissions",
               "Effect": "Allow",
               "Action": [
                   "sso:DescribeApplication",
                   "sso:DescribeInstance"
               ],
               "Resource": [
                   "arn:aws:sso:::instance/Your-IAM-Identity-Center-Instance ID",
                   "arn:aws:sso::Your-AWS-Account-ID:application/Your-IAM-Identity-Center-Instance-ID/*"
               ]
           }
       ]
   }

   信任政策：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "redshift-serverless.amazonaws.com",
                       "redshift.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:SetContext"
               ]
           }
       ]
   }
                                       

在启用@@ 了 IAM Identity Center 的 Amazon Organizations 管理账户中创建权限集。你将在下一步中使用它来允许联合用户访问 Redshift 查询编辑器 V2。

1. 前往 IAM Identity Center 控制台，在多账户权限下，选择权限集。

2. 选择创建权限集。

3. 选择 “自定义” 权限集，然后选择 “下一步”。

4. 在Amazon 托管策略下，选择AmazonRedshiftQueryEditorV2ReadSharing。

5. 在 “内联策略” 下，添加以下策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Statement1",
               "Effect": "Allow",
               "Action": [
                   "redshift:DescribeQev2IdcApplications",
                   "redshift-serverless:ListNamespaces",
                   "redshift-serverless:ListWorkgroups",
                   "redshift-serverless:GetWorkgroup"
               ],
               "Resource": "*"
           }
       ]
   }

6. 选择 “下一步”，然后提供权限集名称的名称。例如 Redshift-Query-Editor-V2。

7. 在 “中继状态” 下 — 可选，使用以下格式将默认中继状态设置为查询编辑器 V2 URL：https://your-region.console.aws.amazon.com/sqlworkbench/home。

8. 查看设置并选择创建。

9. 导航到 IAM Identity Center 控制面板，然后从 “设置摘要” 部分复制 Amazon Web Services 访问门户 URL。

   

10. 打开一个新的隐身浏览器窗口并粘贴 URL。

    这将带您 Amazon Web Services 进入访问门户，确保您使用的是 IAM Identity Center 用户登录。

    

    有关权限集的更多信息，请参阅Amazon Web Services 账户 使用权限集管理。

允许联合用户访问 Redshift 查询编辑器 V2。

1. 在 Amazon Organizations 管理账户中，打开 IAM 身份中心控制台。

2. 在导航窗格中的多帐户权限下，选择 Amazon Web Services 账户。

3. 在 Amazon Web Services 账户 页面上，选择 Amazon Web Services 账户 要为其分配访问权限的。

4. 选择分配用户或组。

5. 在分配用户和组页面上，选择要为其创建权限集的用户和/或组。然后选择下一步。

6. 在 “分配权限集” 页面上，选择您在上一步中创建的权限集。然后选择下一步。

7. 在查看并提交分配页面上，查看您的选择，然后选择提交。