Verwaltung von CloudTrail Lake Federation-Ressourcen mit AWS Lake Formation - AWS CloudTrail
Steuern des Zugriffs auf VerbundressourcenErmitteln der Berechtigungsmethode für eine VerbundressourceKontoübergreifendes Teilen mit Lake Formation

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwaltung von CloudTrail Lake Federation-Ressourcen mit AWS Lake Formation

Wenn Sie einen Ereignisdatenspeicher zusammenführen, werden die Verbundrolle ARN und der Ereignisdatenspeicher in dem Dienst CloudTrail registriert AWS Lake Formation, der für die detaillierte Zugriffskontrolle der Verbundressourcen im Datenkatalog verantwortlich ist. AWS Glue In diesem Abschnitt wird beschrieben, wie Sie Lake Formation verwenden können, um die Ressourcen der CloudTrail Lake Federation zu verwalten.

Wenn Sie den Verbund aktivieren, werden die folgenden Ressourcen im AWS Glue Datenkatalog CloudTrail erstellt.

  • Verwaltete Datenbank — CloudTrail erstellt eine Datenbank mit dem Namen aws:cloudtrail pro Konto. CloudTrail verwaltet die Datenbank. Sie können die Datenbank in nicht löschen oder ändern AWS Glue.

  • Verwaltete Verbundtabelle — CloudTrail erstellt eine Tabelle für jeden föderierten Ereignisdatenspeicher und verwendet die ID des Ereignisdatenspeichers als Tabellennamen. CloudTrail verwaltet die Tabellen. Sie können die Tabellen in nicht löschen oder ändern AWS Glue. Um eine Tabelle zu löschen, müssen Sie den Verbund im Ereignisdatenspeicher deaktivieren.

Steuern des Zugriffs auf Verbundressourcen

Sie können eine von zwei Berechtigungsmethoden verwenden, um den Zugriff auf die verwaltete Datenbank und die Tabellen zu steuern.

  • IAMNur Zugriffskontrolle — Wenn IAM nur die Zugriffskontrolle aktiviert ist, erhalten alle Benutzer des Kontos mit den erforderlichen IAM Berechtigungen Zugriff auf alle Datenkatalogressourcen. Informationen dazu, wie AWS Glue funktioniert mitIAM, finden Sie unter Wie AWS Glue funktioniert mit IAM.

    In der Lake Formation Formation-Konsole wird diese Methode als Nur IAM Zugriffskontrolle verwenden angezeigt.

    Anmerkung

    Wenn Sie Datenfilter erstellen und andere Lake-Formation-Features verwenden möchten, müssen Sie die Lake-Formation-Zugriffskontrolle verwenden.

  • Lake-Formation-Zugriffskontrolle – Diese Methode bietet die folgenden Vorteile.

Weitere Informationen zur differenzierten Zugriffskontrolle finden Sie unter Methoden für die differenzierte Zugriffskontrolle.

Ermitteln der Berechtigungsmethode für eine Verbundressource

Wenn Sie den Verbund zum ersten Mal aktivieren, werden mithilfe Ihrer Lake Formation Data Lake-Einstellungen eine verwaltete Datenbank und eine verwaltete Verbundtabelle CloudTrail erstellt.

Nachdem Sie den Verbund CloudTrail aktiviert haben, können Sie überprüfen, welche Berechtigungsmethode Sie für die verwaltete Datenbank und die verwaltete Verbundtabelle verwenden, indem Sie die Berechtigungen für diese Ressourcen überprüfen. Wenn die IAM_ALLOWED_PRINCIPALS Einstellung ALL (Super) to für die Ressource vorhanden ist, wird die Ressource ausschließlich IAM über Berechtigungen verwaltet. Wenn die Einstellung fehlt, wird die Ressource über Lake-Formation-Berechtigungen verwaltet. Weitere Informationen zu Lake-Formation-Berechtigungen finden Sie in der Referenz zu Lake-Formation-Berechtigungen.

Die Berechtigungsmethode für die verwaltete Datenbank und die verwaltete Verbundtabelle kann unterschiedlich sein. Wenn Sie beispielsweise die Werte für die Datenbank und die Tabelle überprüfen, könnten Sie Folgendes sehen:

  • Für die Datenbank IAM_ALLOWED_PRINCIPALS ist der Wert, der ALL (Super) zuweist, in den Berechtigungen enthalten, was bedeutet, dass Sie IAM nur die Zugriffskontrolle für die Datenbank verwenden.

  • Für die Tabelle ist der Wert, der ALL (Super) auf IAM_ALLOWED_PRINCIPALS zuweist, nicht vorhanden, was auf eine Zugriffskontrolle durch Lake-Formation-Berechtigungen hinweist.

Sie können jederzeit zwischen den Zugriffsmethoden wechseln, indem Sie die Berechtigung ALL (Super) auf IAM_ALLOWED_PRINCIPALS für eine beliebige Verbundressource in Lake Formation hinzufügen oder entfernen.

Kontoübergreifendes Teilen mit Lake Formation

In diesem Abschnitt wird beschrieben, wie Sie mithilfe von Lake Formation eine verwaltete Datenbank und eine verwaltete Verbundtabelle für mehrere Konten gemeinsam nutzen können.

Gehen Sie wie folgt vor, um eine verwaltete Datenbank für mehrere Konten gemeinsam zu nutzen:

  1. Aktualisieren Sie die Version für die kontoübergreifende gemeinsame Nutzung von Daten auf Version 4.

  2. Entfernen die Berechtigungen Super auf IAM_ALLOWED_PRINCIPALS aus der Datenbank, falls vorhanden, um zur Lake-Formation-Zugriffskontrolle zu wechseln.

  3. Erteilen Sie dem externen Konto in der Datenbank Describe-Berechtigungen.

  4. Wenn eine Datenkatalogressource für Sie freigegeben ist AWS-Konto und Ihr Konto nicht derselben AWS Organisation angehört wie das Freigabekonto, akzeptieren Sie die Einladung von AWS Resource Access Manager (AWS RAM) zur gemeinsamen Nutzung der Ressource. Weitere Informationen finden Sie unter Annehmen einer Einladung zur gemeinsamen Nutzung einer Ressource von AWS RAM.

Nach Abschluss dieser Schritte sollte die Datenbank für das externe Konto sichtbar sein. Standardmäßig gewährt die gemeinsame Nutzung der Datenbank keinen Zugriff auf Tabellen in der Datenbank.

Gehen Sie wie folgt vor, um alle oder einzelne verwaltete Verbundtabellen für ein externes Konto freizugeben:

  1. Aktualisieren Sie die Version für die kontoübergreifende gemeinsame Nutzung von Daten auf Version 4.

  2. Entfernen die Berechtigungen Super auf IAM_ALLOWED_PRINCIPALS aus der Tabelle, falls vorhanden, um zur Lake-Formation-Zugriffskontrolle zu wechseln.

  3. (Optional) Geben Sie beliebige Datenfilter an, um Spalten oder Zeilen einzuschränken.

  4. Erteilen Sie dem externen Konto in der Tabelle Select-Berechtigungen.

  5. Wenn eine Datenkatalogressource mit Ihnen geteilt wird AWS-Konto und Ihr Konto nicht derselben AWS Organisation angehört wie das Freigabekonto, akzeptieren Sie die Einladung von AWS Resource Access Manager (AWS RAM) zur gemeinsamen Nutzung der Ressource. Für eine Organisation können Sie mithilfe der RAM Einstellungen auto akzeptieren. Weitere Informationen finden Sie unter Eine Einladung zur gemeinsamen Nutzung einer Ressource annehmen von AWS RAM.

  6. Die Tabelle sollte jetzt sichtbar sein. Um Amazon-Athena-Abfragen für diese Tabelle zu aktivieren, erstellen Sie in diesem Konto einen Ressourcenlink zur gemeinsam genutzten Tabelle.

Das Eigentümerkonto kann die gemeinsame Nutzung jederzeit widerrufen, indem es die Berechtigungen für das externe Konto von Lake Formation entfernt oder den Verbund in deaktiviert. CloudTrail