View a markdown version of this page

Verbund für einen Ereignisdatenspeicher erstellen - AWS CloudTrail
ÜberlegungenErforderliche Berechtigungen für den Verbund

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verbund für einen Ereignisdatenspeicher erstellen

Anmerkung

AWS CloudTrail Lake steht ab dem 31. Mai 2026 nicht mehr für Neukunden zur Verfügung. Wenn Sie CloudTrail Lake nutzen möchten, melden Sie sich vor diesem Datum an. Bestandskunden können den Service weiterhin wie gewohnt nutzen. Weitere Informationen finden Sie unter CloudTrail Änderung der Verfügbarkeit von Seen.

Durch den Verbund eines Event-Datenspeichers können Sie die mit dem Event-Datenspeicher verknüpften Metadaten im AWS Glue Datenkatalog einsehen, den Datenkatalog registrieren und mithilfe von Amazon Athena SQL-Abfragen für Ihre Eventdaten ausführen. AWS Lake Formation Anhand der im AWS Glue Datenkatalog gespeicherten Tabellenmetadaten weiß die Athena-Abfrage-Engine, wie sie die Daten, die Sie abfragen möchten, findet, liest und verarbeitet.

Sie können den Verbund mithilfe der CloudTrail Konsole oder der EnableFederation API-Operation aktivieren. AWS CLI Wenn Sie den Lake-Abfrage-Verbund aktivieren, werden eine verwaltete Datenbank mit dem Namen aws:cloudtrail (falls die Datenbank noch nicht vorhanden ist) und eine verwaltete Verbundtabelle im AWS Glue Datenkatalog CloudTrail erstellt. Die ID des Event-Datenspeichers wird für den Tabellennamen verwendet. CloudTrail registriert den ARN der Verbundrolle und den Ereignisdatenspeicher in. Dabei handelt es sich um den Dienst AWS Lake Formation, der für die detaillierte Zugriffskontrolle der Verbundressourcen im AWS Glue Datenkatalog verantwortlich ist.

Um Lake-Abfrageverbund zu aktivieren, müssen Sie eine neue IAM-Rolle erstellen oder eine vorhandene Rolle auswählen. Lake Formation verwendet diese Rolle, um Berechtigungen für den Verbundereignisdatenspeicher zu verwalten. Wenn Sie mithilfe der CloudTrail Konsole eine neue Rolle erstellen, CloudTrail werden automatisch die erforderlichen Berechtigungen für die Rolle erstellt. Wenn Sie eine bestehende Rolle auswählen, stellen Sie sicher, dass die Rolle die Mindestberechtigungen vorsieht.

Sie können den Verbund mithilfe der CloudTrail Konsole oder der DisableFederation API-Operation deaktivieren. AWS CLI Wenn Sie den Verbund CloudTrail deaktivieren, wird die Integration mit AWS Glue AWS Lake Formation, und Amazon Athena deaktiviert. Nachdem Sie den Lake-Abfrageverbund deaktiviert haben, können Sie Ihre Ereignisdaten in Athena nicht mehr abfragen. Wenn Sie den Verbund deaktivieren, werden keine CloudTrail Lake-Daten gelöscht und Sie können weiterhin Abfragen in CloudTrail Lake ausführen.

Für den Verbund eines CloudTrail Lake-Event-Datenspeichers CloudTrail fallen keine Gebühren an. Für die Ausführung von Abfragen in Amazon Athena fallen Kosten an. Weitere Informationen zur Preisgestaltung von Athena finden Sie unter Amazon Athena – Preise.

Themen

Überlegungen

Berücksichtigen Sie bei der Verbunderstellung eines Ereignisdatenspeichers die folgenden Faktoren:

  • Für den Verbund eines CloudTrail Lake-Event-Datenspeichers CloudTrail fallen keine Gebühren an. Für die Ausführung von Abfragen in Amazon Athena fallen Kosten an. Weitere Informationen zur Preisgestaltung von Athena finden Sie unter Amazon Athena – Preise.

  • Lake Formation wird verwendet, um Berechtigungen für die Verbundressourcen zu verwalten. Wenn Sie die Verbundrolle löschen oder Lake Formation oder die Berechtigungen für die Ressourcen entziehen AWS Glue, können Sie keine Abfragen von Athena aus ausführen. Weitere Informationen zur Arbeit mit Lake Formation finden Sie unter Verwaltung der Ressourcen der CloudTrail Lake-Föderation mit AWS Lake Formation.

  • Jeder, der Amazon Athena zum Abfragen von bei Lake Formation registrierten Daten verwendet, muss über eine IAM-Berechtigungsrichtlinie verfügen, die die lakeformation:GetDataAccess-Aktion zulässt. Die AWS verwaltete Richtlinie: AmazonAthenaFullAccess ermöglicht diese Aktion. Wenn Sie eingebundenen Richtlinien verwenden, stellen Sie sicher, dass Sie die Berechtigungsrichtlinien aktualisieren, um diese Aktion zuzulassen. Weitere Informationen finden Sie unter Verwalten von Lake-Formation- und Athena-Benutzerberechtigungen.

  • Um Ansichten für Verbundtabellen in Athena zu erstellen, benötigen Sie eine andere Zieldatenbank als aws:cloudtrail. Das liegt daran, dass die aws:cloudtrail Datenbank von verwaltet wird CloudTrail.

  • Um einen Datensatz in Amazon Quick zu erstellen, müssen Sie die Option Benutzerdefiniertes SQL verwenden auswählen. Weitere Informationen finden Sie unter Erstellen eines Datensatzes mit Amazon-Athena-Daten.

  • Wenn der Verbund aktiviert ist, können Sie einen Ereignisdatenspeicher nicht löschen. Um einen Verbundereignisdatenspeicher zu löschen, müssen Sie zunächst den Verbund und den Beendigungsschutz deaktivieren, falls dieser aktiviert ist.

  • Für Ereignisdatenspeicher von Organisationen gelten die folgenden Überlegungen:

    • Nur ein einziges delegiertes Administratorkonto oder das Verwaltungskonto können den Verbund für den Ereignisdatenspeicher einer Organisation aktivieren. Andere delegierte Administratorkonten können mithilfe des Lake-Formation-Datenfreigabefeatures immer noch Informationen abfragen und austauschen.

    • Jedes delegierte Administratorkonto oder das Verwaltungskonto der Organisation können den Verbund deaktivieren.

Erforderliche Berechtigungen für den Verbund

Bevor Sie einen Verbund des Ereignisdatenspeichers erstellen, stellen Sie sicher, dass Sie über alle erforderlichen Berechtigungen für die Verbundrolle und für die Aktivierung und Deaktivierung des Verbunds verfügen. Sie müssen die Berechtigungen für die Verbundrolle nur aktualisieren, wenn Sie eine bestehende IAM-Rolle für die Aktivierung des Verbunds auswählen. Wenn Sie sich dafür entscheiden, eine neue IAM-Rolle mithilfe der CloudTrail Konsole zu erstellen, CloudTrail stellt alle erforderlichen Berechtigungen für die Rolle zur Verfügung.

IAM-Berechtigungen für den Verbund eines Ereignisdatenspeichers

Beim Aktivieren des Verbunds haben Sie die Möglichkeit, eine neue IAM-Rolle zu erstellen oder eine vorhandene IAM-Rolle zu verwenden. Wenn Sie eine neue IAM-Rolle auswählen, CloudTrail wird eine IAM-Rolle mit den erforderlichen Berechtigungen erstellt, sodass keine weiteren Maßnahmen Ihrerseits erforderlich sind.

Wenn Sie eine vorhandene Rolle auswählen, stellen Sie sicher, dass die Richtlinien der IAM-Rolle über die erforderlichen Berechtigungen verfügen, um den Verbund zu aktivieren. Dieser Abschnitt enthält Beispiele für die erforderlichen IAM-Rollenberechtigungen und Vertrauensrichtlinien.

Das folgende Beispiel enthält die Berechtigungsrichtlinie für die Verbundrolle. Geben Sie für die erste Anweisung den vollständigen ARN Ihres Ereignisdatenspeichers für Resource an.

Die zweite Aussage in dieser Richtlinie ermöglicht Lake Formation, Daten für einen mit einem KMS-Schlüssel verschlüsselten Ereignisdatenspeicher zu entschlüsseln. Ersetzen Sie key-regionaccount-id, und key-id durch die Werte für Ihren KMS-Schlüssel. Sie können diese Anweisung weglassen, wenn der Ereignisdatenspeicher keinen KMS-Schlüssel für die Verschlüsselung verwendet.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LakeFederationEDSDataAccess",
            "Effect": "Allow",
            "Action": "cloudtrail:GetEventDataStoreData",
            "Resource": "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
        },
        {
            "Sid": "LakeFederationKMSDecryptAccess",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:us-east-1:111111111111:key/key-id"
        }
    ]
}

Im folgenden Beispiel wird die IAM-Vertrauensrichtlinie bereitgestellt, die es AWS Lake Formation ermöglicht, eine IAM-Rolle zur Verwaltung von Berechtigungen für den Verbundereignisdatenspeicher anzunehmen.

JSON
{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lakeformation.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Erforderliche Berechtigungen für das Aktivieren des Verbunds

Die folgende Beispielrichtlinie bietet die mindestens erforderlichen Berechtigungen, um den Verbund für einen Ereignisdatenspeicher zu aktivieren. Diese Richtlinie ermöglicht es CloudTrail , den Verbund für den Event-Datenspeicher AWS Glue zu aktivieren, die Verbundressourcen im AWS Glue Datenkatalog zu erstellen und die Ressourcenregistrierung AWS Lake Formation zu verwalten.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "CloudTrailEnableFederation",
            "Effect": "Allow",
            "Action": "cloudtrail:EnableFederation",
            "Resource": "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
        },
        {
            "Sid": "FederationRoleAccess",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::111122223333:role/federation-role-name"
        },
        {
            "Sid": "GlueResourceCreation",
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase",
                "glue:CreateTable",
                "glue:PassConnection"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:111111111111:catalog",
                "arn:aws:glue:us-east-1:111111111111:database/aws:cloudtrail",
                "arn:aws:glue:us-east-1:111111111111:table/aws:cloudtrail/eds-id",
                "arn:aws:glue:us-east-1:111111111111:connection/aws:cloudtrail"
            ]
        },
        {
            "Sid": "LakeFormationRegistration",
            "Effect": "Allow",
            "Action": [
                "lakeformation:RegisterResource",
                "lakeformation:DeregisterResource"
            ],
            "Resource": "arn:aws:lakeformation:region:111111111111:catalog:111111111111"
        }
    ]
}

Erforderliche Berechtigungen für das Deaktivieren des Verbunds

Die folgende Beispielrichtlinie bietet die mindestens erforderlichen Ressourcen, um den Verbund für einen Ereignisdatenspeicher zu deaktivieren. Diese Richtlinie ermöglicht es CloudTrail , den Verbund für den Event-Datenspeicher AWS Glue zu deaktivieren, die verwaltete Verbundtabelle im AWS Glue Datenkatalog zu löschen und Lake Formation die Registrierung der Verbundressource aufzuheben.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "CloudTrailDisableFederation",
            "Effect": "Allow",
            "Action": "cloudtrail:DisableFederation",
            "Resource": "arn:aws:cloudtrail:us-east-1:111111111111:eventdatastore/eds-id"
        },
        {
            "Sid": "GlueTableDeletion",
            "Effect": "Allow",
            "Action": "glue:DeleteTable",
            "Resource": [
                "arn:aws:glue:us-east-1:111111111111:catalog",
                "arn:aws:glue:us-east-1:111111111111:database/aws:cloudtrail",
                "arn:aws:glue:us-east-1:111111111111:table/aws:cloudtrail/eds-id"
            ]
        },
        {
            "Sid": "LakeFormationDeregistration",
            "Effect": "Allow",
            "Action": "lakeformation:DeregisterResource",
            "Resource": "arn:aws:lakeformation:us-east-1:111111111111:catalog:111111111111"
        }
    ]
}