Einrichten von IAM-Berechtigungen für AWS Glue

So richten Sie IAM-Berechtigungen für AWS Glue in der AWS Management Console

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die AWS Glue Konsole unter https://console.aws.amazon.com/glue/.

2. Wählen Sie Getting started (Erste Schritte).

3. Wählen Sie unter Konto vorbereiten für AWS Glue die Option IAM-Berechtigungen einrichten aus.

4. Wählen Sie die IAM-Identitäten (Rollen oder Benutzer) aus, denen Sie Berechtigungen erteilen AWS Glue möchten. AWS Glue hängt die AWSGlueConsoleFullAccess verwaltete Richtlinie an diese Identitäten an. Sie können diesen Schritt überspringen, wenn Sie diese Berechtigungen manuell festlegen möchten oder nur eine Standardeinstellung für die Servicerolle festlegen möchten.

5. Wählen Sie Weiter aus.

6. Wählen Sie die Amazon-S3-Zugriffsebene, die Ihre Rollen und Benutzer benötigen. Die Optionen, die Sie in diesem Schritt auswählen, werden auf alle von Ihnen ausgewählten Identitäten angewendet.

   1. Wählen Sie unter S3-Standorte auswählen die Amazon-S3-Standorte aus, auf die Sie Zugriff gewähren möchten.

   2. Wählen Sie als Nächstes aus, ob Ihre Identitäten nur Lesezugriff (empfohlen) oder Lese- und Schreibzugriff auf die zuvor ausgewählten Speicherorte haben sollen. AWS Glue fügt Ihren Identitäten basierend auf der von Ihnen ausgewählten Kombination aus Speicherorten und Lese- oder Schreibberechtigungen Berechtigungsrichtlinien hinzu.

      In der folgenden Tabelle sind die Berechtigungen aufgeführt, die AWS Glue für den Zugriff auf Amazon S3 gelten.

      Wenn Sie auswählen ...	AWS Glue hängt an...
      Keine Änderung	Keine Berechtigungen. AWS Glue wird keine Änderungen an den Berechtigungen Ihrer Identität vornehmen.
      Zugriff auf bestimmte Amazon-S3-Standorte gewähren (schreibgeschützt)	Die vom Kunden verwaltete Richtlinie gewährt Zugriff auf bestimmte Amazon S3 S3-Standorte mit Leseberechtigungen. AWSGlueConsole-S3-read-only-policy { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetObject" ], "Resource": [ "arn:aws:s3:::amzn-s3-demo-bucket1/*", "arn:aws:s3:::amzn-s3-demo-bucket2/*", "arn:aws:s3:::amzn-s3-demo-bucket3", "arn:aws:s3:::amzn-s3-demo-bucket" ], "Condition": { "StringEquals": { "aws:ResourceAccount":"0000000000" } } } ] }
      Zugriff auf bestimmte Amazon-S3-Standorte gewähren (Lese- und Schreibzugriff)	Das AWSGlueConsole-S3-read-and-write-policy gewährt Zugriff auf bestimmte Amazon S3 S3-Standorte mit Lese- und Schreibberechtigungen. { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "s3:GetObject", "s3:PutObject" ], "Resource": [ "arn:aws:s3:::aes-siem-00000000000-log/*", "arn:aws:s3:::aes-siem-00000000000-snapshot/*", "arn:aws:s3:::aes-siem-00000000000-log", "arn:aws:s3:::aes-siem-00000000000-snapshot" ], "Condition": { "StringEquals": { "aws:ResourceAccount":"00000000000" } } } ] }

7. Wählen Sie Weiter aus.

8. Wählen Sie eine AWS Glue Standard-Servicerolle für Ihr Konto. Eine Servicerolle ist eine IAM-Rolle, die AWS Glue verwendet wird, um in Ihrem Namen auf Ressourcen in anderen AWS Diensten zuzugreifen. Weitere Informationen finden Sie unter Servicerollen für AWS Glue.

   • Wenn Sie sich für die AWS Glue Standard-Servicerolle entscheiden, AWS Glue wird in Ihrem AWS-Konto Namen eine neue IAM-Rolle AWSGlueServiceRole mit den folgenden verwalteten Richtlinien erstellt. Wenn Ihr Konto bereits eine IAM-Rolle mit dem Namen hatAWSGlueServiceRole, werden diese Richtlinien AWS Glue an die bestehende Rolle angehängt.

     • AWSGlueServiceRole— Diese verwaltete Richtlinie ist erforderlich, AWS Glue damit Sie in Ihrem Namen auf Ressourcen zugreifen und diese verwalten können. Sie AWS Glue ermöglicht das Erstellen, Aktualisieren und Löschen verschiedener Ressourcen wie AWS Glue Jobs, Crawler und Verbindungen. Diese Richtlinie gewährt auch Berechtigungen für den Zugriff auf Amazon CloudWatch Protokolle AWS Glue zu Protokollierungszwecken. Für den Einstieg empfehlen wir, diese Richtlinie zu verwenden, um sich mit der Verwendung vertraut zu machen AWS Glue. Wenn Sie sich damit vertraut gemacht haben AWS Glue, können Sie Richtlinien erstellen, mit denen Sie den Zugriff auf Ressourcen nach Bedarf anpassen können.

     • AWSGlueConsoleFullAccess— Diese verwaltete Richtlinie gewährt vollen Zugriff auf den AWS Glue Service über die AWS Management Console. Diese Richtlinie gewährt Berechtigungen zur Ausführung aller darin enthaltenen AWS Glue Vorgänge und ermöglicht es Ihnen, jede AWS Glue Ressource nach Bedarf zu erstellen, zu ändern und zu löschen. Es ist jedoch wichtig zu beachten, dass diese Richtlinie keine Berechtigungen für den Zugriff auf die zugrunde liegenden Datenspeicher oder andere AWS Dienste gewährt, die möglicherweise am ETL-Prozess beteiligt sind. Aufgrund des breiten Umfangs der durch die AWSGlueConsoleFullAccess Richtlinie gewährten Berechtigungen sollte sie mit Vorsicht und unter Beachtung des Prinzips der geringsten Rechte vergeben werden. Es wird generell empfohlen, nach Möglichkeit detailliertere Richtlinien zu erstellen und zu verwenden, die auf bestimmte Anwendungsfälle und Anforderungen zugeschnitten sind.

     • AWSGlueConsole-S3- read-only-policy — Diese Richtlinie AWS Glue ermöglicht das Lesen von Daten aus bestimmten Amazon S3-Buckets, gewährt jedoch keine Berechtigungen zum Schreiben oder Ändern von Daten in Amazon S3 oder

       AWSGlueConsole-S3- read-and-write — Diese Richtlinie ermöglicht AWS Glue das Lesen und Schreiben von Daten in bestimmte Amazon S3 S3-Buckets als Teil des ETL-Prozesses.

   • Wenn Sie eine bestehende IAM-Rolle auswählen, AWS Glue legt diese Rolle als Standard fest, fügt ihr jedoch keine AWSGlueServiceRole Berechtigungen hinzu. Stellen Sie sicher, dass Sie die Rolle so konfiguriert haben, dass sie als Servicerolle für AWS Glue verwendet werden soll. Weitere Informationen erhalten Sie unter Schritt 1: Erstellen Sie eine IAM-Richtlinie für AWS Glue Service nicht zulässig und Schritt 2: Erstellen Sie eine IAM-Rolle für AWS Glue.

9. Wählen Sie Weiter aus.

10. Überprüfen Sie abschließend die von Ihnen ausgewählten Berechtigungen und wählen Sie dann Änderungen übernehmen aus. Wenn Sie die Änderungen übernehmen, werden den ausgewählten Identitäten IAM-Berechtigungen AWS Glue hinzugefügt. Sie können die neuen Berechtigungen in der IAM-Konsole unter anzeigen oder ändern. https://console.aws.amazon.com/iam/