Amazon Lake Formation 使用 IAM 身份中心进行设置

Amazon Lake Formation按照@@ 将 Lake Formation 与 IAM 身份中心连接中的指导进行集成 IAM 身份中心。

注册数据湖位置。

注册存储 Glue 表数据的 S3 位置。这样，Lake Formation 将在查询表时提供对所需 S3 位置的临时访问权限，从而无需在服务角色中包含 S3 权限（例如，上配置的 Athena 服务角色）。 WorkGroup

1. 导航到 Amazon Lake Formation 控制台导航窗格中 “管理” 部分下的数据湖位置。选择注册位置。

   这将允许 Lake Formation 配置具有访问 S3 数据位置所需的权限的临时 IAM 证书。

   

2. 在 Amazon S3 路径字段中输入 Amazon Glue 表的数据位置的 S3 路径。

3. 在 IAM 角色部分，如果您想将服务关联角色用于可信身份传播，请不要选择该角色。创建具有以下权限的单独角色。

   要使用这些策略，请将示例策略italicized placeholder text中的替换为您自己的信息。有关其他说明，请参阅创建策略或编辑策略。权限策略应授予对路径中指定的 S3 位置的访问权限：

   1. 权限策略：

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "LakeFormationDataAccessPermissionsForS3",
                  "Effect": "Allow",
                  "Action": [
                      "s3:PutObject",
                      "s3:GetObject",
                      "s3:DeleteObject"
                  ],
                  "Resource": [
                      "arn:aws:s3:::Your-S3-Bucket/*"
                  ]
              },
              {
                  "Sid": "LakeFormationDataAccessPermissionsForS3ListBucket",
                  "Effect": "Allow",
                  "Action": [
                      "s3:ListBucket"
                  ],
                  "Resource": [
                      "arn:aws:s3:::Your-S3-Bucket"
                  ]
              },
              {
                  "Sid": "LakeFormationDataAccessServiceRolePolicy",
                  "Effect": "Allow",
                  "Action": [
                      "s3:ListAllMyBuckets"
                  ],
                  "Resource": [
                      "arn:aws:s3:::*"
                  ]
              }
          ]
      }

   2. 信任关系：这应包括sts:SectContext可信身份传播所必需的。

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "lakeformation.amazonaws.com"
                  },
                  "Action": [
                      "sts:AssumeRole",
                      "sts:SetContext"
                  ]
              }
          ]
      }

      注意

      向导创建的 IAM 角色是服务相关角色，不包括sts:SetContext。

4. 创建 IAM 角色后，选择注册地点。