Ändern der Standardeinstellungen für Ihren Data Lake

Um die Abwärtskompatibilität mit zu gewährleistenAWS Glue, AWS Lake Formation verfügt über die folgenden anfänglichen Sicherheitseinstellungen:

Diese Einstellungen bewirken, dass der Zugriff auf Datenkatalogressourcen und Amazon S3 S3-Standorte ausschließlich durch AWS Identity and Access Management (IAM-) Richtlinien gesteuert wird. Individuelle Genehmigungen für Lake Formation sind nicht gültig.

Die IAMAllowedPrincipals Gruppe umfasst alle IAM-Benutzer und -Rollen, denen aufgrund Ihrer IAM-Richtlinien Zugriff auf Ihre Datenkatalogressourcen gewährt wird. Die Super Berechtigung ermöglicht es einem Prinzipal, jeden unterstützten Lake Formation Formation-Vorgang in der Datenbank oder Tabelle auszuführen, für die sie erteilt wurde.

Gehen Sie wie folgt vor, um die Sicherheitseinstellungen so zu ändern, dass der Zugriff auf Datenkatalogressourcen (Datenbanken und Tabellen) über Lake Formation Formation-Berechtigungen verwaltet wird:

Ändern der Standardsicherheitseinstellungen mithilfe des Lake Formation PutDataLakeSettings API-Vorgangs

Sie können die Standardsicherheitseinstellungen auch mithilfe des Lake Formation PutDataLakeSettingsAPI-Vorgangs ändern. Diese Aktion verwendet als Argumente eine optionale Katalog-ID und eine DataLakeSettingsStruktur.

Um Metadaten und die zugrundeliegende Datenzugriffskontrolle durch Lake Formation für neue Datenbanken und Tabellen durchzusetzen, codieren Sie die DataLakeSettings Struktur wie folgt.

{
    "DataLakeSettings": {
        "DataLakeAdmins": [
            {
                "DataLakePrincipalIdentifier": "arn:aws:iam::<AccountId>:user/<Username>"
            }
        ],
        "CreateDatabaseDefaultPermissions": [],
        "CreateTableDefaultPermissions": []
    }
}

Sie können die Struktur auch wie folgt codieren. Das Weglassen des CreateTableDefaultPermissions Parameters CreateDatabaseDefaultPermissions oder entspricht der Übergabe einer leeren Liste.

{
    "DataLakeSettings": {
        "DataLakeAdmins": [
            {
                "DataLakePrincipalIdentifier": "arn:aws:iam::<AccountId>:user/<Username>"
            }
        ]
    }
}

Durch diese Aktion werden der IAMAllowedPrincipals Gruppe effektiv alle Lake Formation Formation-Berechtigungen für neue Datenbanken und Tabellen entzogen. Wenn Sie eine Datenbank erstellen, können Sie diese Einstellung überschreiben.

Um Metadaten und die zugrundeliegende Datenzugriffskontrolle nur durch IAM für neue Datenbanken und Tabellen durchzusetzen, codieren Sie die DataLakeSettings Struktur wie folgt.

{
    "DataLakeSettings": {
        "DataLakeAdmins": [
            {
                "DataLakePrincipalIdentifier": "arn:aws:iam::<AccountId>:user/<Username>"
            }
        ],
        "CreateDatabaseDefaultPermissions": [
            {
                "Principal": {
                    "DataLakePrincipalIdentifier": "IAM_ALLOWED_PRINCIPALS"
                },
                "Permissions": [
                    "ALL"
                ]
            }
        ],
        "CreateTableDefaultPermissions": [
            {
                "Principal": {
                    "DataLakePrincipalIdentifier": "IAM_ALLOWED_PRINCIPALS"
                },
                "Permissions": [
                    "ALL"
                ]
            }
        ]
    }
}

Dadurch erhält die IAMAllowedPrincipals Gruppe Super Lake Formation die Erlaubnis, neue Datenbanken und Tabellen zu verwenden. Wenn Sie eine Datenbank erstellen, können Sie diese Einstellung überschreiben.