Anforderungen für Rollen, die zur Registrierung von Standorten verwendet werden

Die dienstleistungsbezogene Rolle von Lake Formation. Diese Rolle gewährt die erforderlichen Berechtigungen für den Standort. Die Verwendung dieser Rolle ist die einfachste Methode, den Standort zu registrieren. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für Lake Formation.

Eine benutzerdefinierte Rolle. Verwenden Sie eine benutzerdefinierte Rolle, wenn Sie mehr Berechtigungen gewähren müssen, als die mit dem Dienst verknüpfte Rolle bietet.

In den folgenden Fällen müssen Sie eine benutzerdefinierte Rolle verwenden:

Wählen Sie beim Erstellen der neuen Rolle auf der Seite Rolle erstellen der IAM Konsole AWS Service und dann unter Anwendungsfall auswählen die Option Lake Formation aus.

Wenn Sie die Rolle unter Verwendung eines anderen Pfads erstellen, stellen Sie sicher, dass für die Rolle eine Vertrauensstellung bestehtlakeformation.amazonaws.com. Weitere Informationen finden Sie unter Ändern einer Vertrauensrichtlinie für Rollen (Konsole).

Die Rolle muss Vertrauensbeziehungen zu den folgenden Entitäten haben:

Weitere Informationen finden Sie unter Ändern einer Rollenvertrauensrichtlinie (Konsole).

Die Rolle muss über eine Inline-Richtlinie verfügen, die Amazon S3 Lese-/Schreibberechtigungen für den Standort gewährt. Im Folgenden finden Sie eine typische Richtlinie.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Fügen Sie der IAM Rolle die folgende Vertrauensrichtlinie hinzu, damit der Lake Formation Formation-Dienst die Rolle übernehmen und temporäre Anmeldeinformationen an die integrierten Analyse-Engines weitergeben kann.

Um den IAM Identity Center-Benutzerkontext in die CloudTrail Protokolle aufzunehmen, muss die Vertrauensrichtlinie über die entsprechende Genehmigung für die Aktion verfügen. sts:SetContext „sts:SetContext“

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataCatalogViewDefinerAssumeRole1",
            "Effect": "Allow",
            "Principal": {
               "Service": [
                    "glue.amazonaws.com",
                    "lakeformation.amazonaws.com"
                 ]
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ]
        }
    ]
}    

Der Data Lake-Administrator, der den Standort registriert, muss über die entsprechenden iam:PassRole Berechtigungen für die Rolle verfügen.

Im Folgenden finden Sie eine Inline-Richtlinie, die diese Berechtigung gewährt. Ersetzen <account-id> mit einer gültigen AWS Kontonummer und ersetzen <role-name> mit dem Namen der Rolle.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRolePermissions",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/<role-name>"
            ]
        }
    ]
}

Damit Lake Formation Logs zu Logs hinzufügen und Metriken veröffentlichen kann, fügen Sie die folgende Inline-Richtlinie hinzu. CloudWatch

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Sid1",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:PutLogEvents"
            ],
            "Resource": [
                 "arn:aws:logs:<region>:<account-id>:log-group:/aws-lakeformation-acceleration/*",
                 "arn:aws:logs:<region>:<account-id>:log-group:/aws-lakeformation-acceleration/*:log-stream:*"
            ]
        }
    ]
}