Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Kontenübergreifenden Zugriff auf AWS Glue Datenkataloge konfigurieren

Sie können die kontoübergreifende AWS Glue Katalogfunktion von Athena verwenden, um einen Katalog von einem AWS Glue anderen Konto als Ihrem eigenen aus zu registrieren. Nachdem Sie die erforderlichen IAM Berechtigungen für den Katalog konfiguriert AWS Glue und ihn als DataCatalogAthena-Ressource registriert haben, können Sie Athena verwenden, um kontenübergreifende Abfragen auszuführen. Informationen zur Verwendung der Athena-Konsole zum Registrieren eines Katalogs von einem anderen Konto finden Sie unter Einen Datenkatalog von einem anderen Konto aus registrieren.

Weitere Informationen zum kontoübergreifenden Zugriff finden Sie unter Gewähren von kontenübergreifendem Zugriff im AWS Glue Entwicklerhandbuch.AWS Glue

Bevor Sie beginnen

Da diese Funktion vorhandene DataCatalog Ressourcen APIs und Funktionen von Athena verwendet, um den kontoübergreifenden Zugriff zu ermöglichen, empfehlen wir Ihnen, die folgenden Ressourcen zu lesen, bevor Sie beginnen:

Überlegungen und Einschränkungen

Derzeit gelten für den kontoübergreifenden Zugriff auf den AWS Glue Athena-Katalog die folgenden Einschränkungen:

Erste Schritte

Im folgenden Szenario möchte das Konto „Kreditnehmer“ (666666666666) eine SELECT Abfrage ausführen, die sich auf den AWS Glue Katalog bezieht, der zum Konto „Besitzer“ (999999999999) gehört, wie im folgenden Beispiel:

SELECT * FROM ownerCatalog.tpch1000.customer

Im folgenden Verfahren wird in den Schritten 1a und 1b gezeigt, wie dem Kreditnehmerkonto sowohl vom Kreditnehmer als auch vom Eigentümer aus Zugriff auf die Ressourcen des Eigentümerkontos gewährt wird. AWS Glue Das Beispiel gewährt Zugriff auf die Datenbank tpch1000 und die Tabelle customer. Ändern Sie diese Beispielnamen entsprechend Ihren Anforderungen.

Schritt 1a: Erstellen Sie eine Kreditnehmerrolle mit einer Richtlinie für den Zugriff auf die Ressourcen des Eigentümers AWS Glue

Um eine Rolle für ein Kreditnehmerkonto mit einer Richtlinie für den Zugriff auf die AWS Glue Ressourcen des Eigentümerkontos zu erstellen, können Sie die Konsole AWS Identity and Access Management (IAM) oder die verwenden. IAMAPI Die folgenden Verfahren verwenden die IAM Konsole.

Schritt 1b: Erstellen Sie eine Eigentümerrichtlinie, um dem Kreditnehmer AWS Glue Zugriff zu gewähren

Um vom Besitzerkonto (999999999999) aus AWS Glue Zugriff auf die Rolle des Kreditnehmers zu gewähren, können Sie die Konsole oder den Vorgang verwenden. AWS Glue AWS Glue PutResourcePolicyAPI Das folgende Verfahren verwendet die Konsole. AWS Glue

Wenn Sie fertig sind, empfehlen wir Ihnen, die zu verwenden, AWS Glue APIum einige kontoübergreifende Testanrufe zu tätigen, um zu überprüfen, ob die Berechtigungen erwartungsgemäß konfiguriert sind.

Schritt 2: Der Kreditnehmer registriert AWS Glue Data Catalog das, was zum Besitzerkonto gehört

Das folgende Verfahren zeigt Ihnen, wie Sie die Athena-Konsole verwenden, um den AWS Glue Data Catalog im Amazon-Web-Services-Besitzerkonto als Datenquelle zu konfigurieren. Hinweise zur Verwendung von API Operationen anstelle der Konsole zur Registrierung des Katalogs finden Sie unter(Optional) Verwenden Sie dieAPI, um einen Athena-Datenkatalog zu registrieren, der zum Besitzerkonto gehört.

Schritt 3: Der Empfänger sendet eine Abfrage

Der Kreditnehmer sendet mithilfe von eine Abfrage, die auf den Katalog verweist. catalog database. tableSyntax, wie im folgenden Beispiel:

SELECT * FROM ownerCatalog.tpch1000.customer

Anstatt die vollqualifizierte Syntax zu verwenden, kann der Kreditnehmer den Katalog auch kontextbezogen angeben, indem er ihn über die weitergibt. QueryExecutionContext

(Optional) Zusätzliche Amazon S3 S3-Berechtigungen konfigurieren

Informationen zur Gewährung von Bucket-Berechtigungen finden Sie unter Wie lege ich Bucket-Berechtigungen fest ACL? im Amazon Simple Storage Service-Benutzerhandbuch.

(Optional) Verwenden Sie einen Katalog dynamisch

In einigen Fällen möchten Sie möglicherweise schnell einen kontoübergreifenden AWS Glue -Katalog testen, ohne ihn registrieren zu müssen. Sie können kontoübergreifende Abfragen dynamisch durchführen, ohne das DataCatalog Ressourcenobjekt zu erstellen, wenn die erforderlichen IAM und Amazon S3 S3-Berechtigungen korrekt konfiguriert sind, wie weiter oben in diesem Dokument beschrieben.

Verwenden Sie die Syntax im folgenden Beispiel, um explizit auf einen Katalog ohne Registrierung zu verweisen:

SELECT * FROM "glue:arn:aws:glue:us-east-1:999999999999:catalog".tpch1000.customer

Verwenden Sie das Format "glue:<arn>„, in dem sich das Format <arn> befindet AWS Glue Data Catalog ARN, das Sie verwenden möchten. In diesem Beispiel verwendet Athena diese Syntax, um dynamisch auf den AWS Glue Datenkatalog des Kontos 999999999999 zu verweisen, als ob Sie ein separates Objekt dafür erstellt hätten. DataCatalog

Hinweise zur Verwendung dynamischer Kataloge

Beachten Sie beim Verwenden von dynamischen Katalogen die folgenden Punkte.

(Optional) Verwenden Sie dieAPI, um einen Athena-Datenkatalog zu registrieren, der zum Besitzerkonto gehört

Anstatt die Athena-Konsole wie in Schritt 2 beschrieben zu verwenden, können Sie API Operationen verwenden, um den Datenkatalog zu registrieren, der zum Besitzerkonto gehört.

Der Ersteller der DataCatalogAthena-Ressource muss über die erforderlichen Berechtigungen verfügen, um den Athena-Vorgang CreateDataCatalogAPIauszuführen. Je nach Ihren Anforderungen kann der Zugriff auf zusätzliche API Operationen erforderlich sein. Weitere Informationen finden Sie unter Datenkatalog-Beispielrichtlinien.

Der folgende CreateDataCatalog Anforderungstext registriert einen AWS Glue Katalog für den kontoübergreifenden Zugriff:

# Example CreateDataCatalog request to register a cross-account Glue catalog:
{
    "Description": "Cross-account Glue catalog",
    "Name": "ownerCatalog",
    "Parameters": {"catalog-id" : "999999999999"  # Owner's account ID
    },
    "Type": "GLUE"
}

Der folgende Beispielcode verwendet einen Java-Client, um das DataCatalog-Objekt zu erstellen.

# Sample code to create the DataCatalog through Java client
CreateDataCatalogRequest request = new CreateDataCatalogRequest()
    .withName("ownerCatalog")
    .withType(DataCatalogType.GLUE)
    .withParameters(ImmutableMap.of("catalog-id", "999999999999"));

athenaClient.createDataCatalog(request);

Nach diesen Schritten sollte der Kreditnehmer sehen, ownerCatalog wann er den ListDataCatalogsAPIVorgang aufruft.

Weitere Ressourcen