Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Berechtigungen für Personas und Rollen für AWS Glue-Blueprints
Im Folgenden werden die typischen Personas und vorgeschlagenen IAM-Berechtigungsrichtlinien (AWS Identity and Access Management) für Personas und Rollen für AWS Glue-Blueprints aufgeführt.
Blueprint-Personas
Im Folgenden werden die Personas aufgeführt, die normalerweise am Lebenszyklus von AWS Glue-Blueprints beteiligt sind.
| Persona | Beschreibung |
|---|---|
| AWS GlueDeveloper | Entwickelt, testet und veröffentlicht Blueprints. |
| AWS Glue-Administrator | Registriert, verwaltet und erteilt Berechtigungen für Blueprints. |
| Datenanalyst | Führt Blueprints aus, um Workflows zu erstellen. |
Weitere Informationen finden Sie unter Übersicht über Blueprints in AWS Glue.
Berechtigungen für Blueprint-Personas
Im Folgenden finden Sie die empfohlenen Berechtigungen für die jeweiligen Blueprint-Personas.
AWS Glue-Entwicklerberechtigungen für Blueprints
Der AWS Glue-Entwickler muss Schreibberechtigungen für den Amazon-S3-Bucket haben, der zum Veröffentlichen des Blueprints verwendet wird. Oft registriert der Entwickler den Blueprint, nachdem er ihn hochgeladen hat. In diesem Fall benötigt der Entwickler die Berechtigungen, die in AWS Glue-Administratorberechtigungen für Blueprints aufgeführt werden. Wenn der Entwickler den Blueprint nach der Registrierung testen möchte, benötigt er außerdem die Berechtigungen unter Datenanalystenberechtigungen für Blueprints.
AWS Glue-Administratorberechtigungen für Blueprints
Mit der folgenden Richtlinie werden Berechtigungen zum Registrieren, Anzeigen und Verwalten von AWS Glue-Blueprints erteilt.
Wichtig
Ersetzen Sie in der folgenden Richtlinie <s3-bucket-name> und <prefix> durch den Amazon-S3-Pfad der zur Registrierung hochgeladenen Blueprint-ZIP-Archive.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:CreateBlueprint", "glue:UpdateBlueprint", "glue:DeleteBlueprint", "glue:GetBlueprint", "glue:ListBlueprints", "glue:BatchGetBlueprints" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "s3:GetObject" ], "Resource": "arn:aws:s3:::<s3-bucket-name>/<prefix>/*" } ] }
Datenanalystenberechtigungen für Blueprints
Die folgende Richtlinie erteilt Berechtigungen zum Ausführen von Blueprints und zum Anzeigen des resultierenden Workflow- bzw. der Workflow-Komponenten. Außerdem gewährt sie PassRole für die Rolle, die AWS Glue übernimmt, um den Workflow und die Workflow-Komponenten zu erstellen.
Die Richtlinie gewährt Berechtigungen für jede Ressource. Wenn Sie den differenzierten Zugriff auf einzelne Blueprints konfigurieren möchten, verwenden Sie das folgende Format für Blueprint-ARNs:
arn:aws:glue:<region>:<account-id>:blueprint/<blueprint-name>
Wichtig
Ersetzen Sie in der folgenden Richtlinie <account-id> durch ein gültiges AWS-Konto und ersetzen Sie <role-name> durch den Namen der Rolle, die zum Ausführen eines Blueprints verwendet wird. Die Berechtigungen, die für diese Rolle erforderlich sind, finden Sie unter Berechtigungen für Blueprint-Rollen.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:ListBlueprints", "glue:GetBlueprint", "glue:StartBlueprintRun", "glue:GetBlueprintRun", "glue:GetBlueprintRuns", "glue:GetCrawler", "glue:ListTriggers", "glue:ListJobs", "glue:BatchGetCrawlers", "glue:GetTrigger", "glue:BatchGetWorkflows", "glue:BatchGetTriggers", "glue:BatchGetJobs", "glue:BatchGetBlueprints", "glue:GetWorkflowRun", "glue:GetWorkflowRuns", "glue:ListCrawlers", "glue:ListWorkflows", "glue:GetJob", "glue:GetWorkflow", "glue:StartWorkflowRun" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::<account-id>:role/<role-name>" } ] }
Berechtigungen für Blueprint-Rollen
Im Folgenden sehen Sie die vorgeschlagenen Berechtigungen für die IAM-Rolle, die zum Erstellen eines Workflows aus einem Blueprint verwendet wird. Die Rolle muss über eine Vertrauensstellung bei glue.amazonaws.com verfügen.
Wichtig
Ersetzen Sie in der folgenden Richtlinie <account-id> durch ein gültiges AWS-Konto und ersetzen Sie <role-name> durch den Namen der Rolle.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:CreateJob", "glue:GetCrawler", "glue:GetTrigger", "glue:DeleteCrawler", "glue:CreateTrigger", "glue:DeleteTrigger", "glue:DeleteJob", "glue:CreateWorkflow", "glue:DeleteWorkflow", "glue:GetJob", "glue:GetWorkflow", "glue:CreateCrawler" ], "Resource": "*" }, { "Effect": "Allow", "Action": "iam:PassRole", "Resource": "arn:aws:iam::<account-id>:role/<role-name>" } ] }
Anmerkung
Wenn die Aufträge und Crawler im Workflow eine andere als diese Rolle übernehmen, muss diese Richtlinie die iam:PassRole-Berechtigung für die entsprechende Rolle einbinden, statt für die Blueprint-Rolle.
