Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Zugreifen auf eine Amazon MWAA-Umgebung
Um Amazon Managed Workflows für Apache Airflow verwenden zu können, müssen Sie ein Konto und IAM-Entitäten mit den erforderlichen Berechtigungen verwenden. Auf dieser Seite werden die Zugriffsrichtlinien beschrieben, die Sie Ihrem Apache Airflow-Entwicklungsteam und Apache Airflow-Benutzern für Ihre Amazon Managed Workflows for Apache Airflow-Umgebung zuordnen können.
Wir empfehlen, temporäre Anmeldeinformationen zu verwenden und föderierte Identitäten mit Gruppen und Rollen zu konfigurieren, um auf Ihre Amazon MWAA-Ressourcen zuzugreifen. Es hat sich bewährt, Richtlinien nicht direkt an Ihre IAM-Benutzer anzuhängen, und definieren Sie stattdessen Gruppen oder Rollen, um temporären Zugriff auf Ressourcen zu gewähren. AWS
Eine IAM-Rolle ist eine IAM-Identität, die Sie in Ihrem Konto mit bestimmten Berechtigungen erstellen können. Eine IAM-Rolle ähnelt einem IAM-Benutzer insofern, als es sich um eine AWS Identität mit Berechtigungsrichtlinien handelt, die festlegen, was die Identität tun kann und was nicht. AWS Eine Rolle ist jedoch nicht einer einzigen Person zugeordnet, sondern kann von allen Personen angenommen werden, die diese Rolle benötigen. Einer Rolle sind außerdem keine standardmäßigen, langfristigen Anmeldeinformationen (Passwörter oder Zugriffsschlüssel) zugeordnet. Wenn Sie eine Rolle übernehmen, erhalten Sie stattdessen temporäre Anmeldeinformationen für Ihre Rollensitzung.
Um einer föderierten Identität Berechtigungen zuzuweisen, erstellen Sie eine Rolle und definieren Berechtigungen für die Rolle. Wird eine Verbundidentität authentifiziert, so wird die Identität der Rolle zugeordnet und erhält die von der Rolle definierten Berechtigungen. Informationen zu Rollen für den Verbund finden Sie unter Erstellen von Rollen für externe Identitätsanbieter im IAM-Benutzerhandbuch. Wenn Sie IAM Identity Center verwenden, konfigurieren Sie einen Berechtigungssatz. Wenn Sie steuern möchten, worauf Ihre Identitäten nach der Authentifizierung zugreifen können, korreliert IAM Identity Center den Berechtigungssatz mit einer Rolle in IAM. Informationen zu Berechtigungssätzen finden Sie unter Berechtigungssätze im AWS IAM Identity Center -Benutzerhandbuch.
Sie können eine IAM-Rolle in Ihrem Konto verwenden, um anderen AWS-Konto Berechtigungen für den Zugriff auf die Ressourcen Ihres Kontos zu gewähren. Ein Beispiel finden Sie unter Tutorial: Delegieren des Zugriffs AWS-Konten mithilfe von IAM-Rollen im IAM-Benutzerhandbuch.
Sections
- Funktionsweise
- Vollständige Richtlinie für den Konsolenzugriff: AmazonMWAA FullConsole Access
- Vollständige API- und Konsolenzugriffsrichtlinie: AmazonMWAA FullApi Access
- Richtlinie für den Zugriff auf Konsolen mit Schreibschutz: AmazonMWAA Access ReadOnly
- Zugriffsrichtlinie für die Apache Airflow-Benutzeroberfläche: AmazonMWAA Access WebServer
- Apache Airflow CLI-Richtlinie: AirflowCli AmazonMWAA Access
- Eine JSON-Richtlinie erstellen
- Beispiel für einen Anwendungsfall zum Anhängen von Richtlinien an eine Entwicklergruppe
- Als nächstes
Funktionsweise
Die in einer Amazon MWAA-Umgebung verwendeten Ressourcen und Dienste sind nicht für alle AWS Identity and Access Management (IAM-) Entitäten zugänglich. Sie müssen eine Richtlinie erstellen, die Apache Airflow-Benutzern den Zugriff auf diese Ressourcen gewährt. Beispielsweise müssen Sie Ihrem Apache Airflow-Entwicklungsteam Zugriff gewähren.
Amazon MWAA verwendet diese Richtlinien, um zu überprüfen, ob ein Benutzer über die erforderlichen Berechtigungen verfügt, um eine Aktion auf der AWS Konsole oder über die von einer Umgebung verwendeten APIs auszuführen.
Sie können die JSON-Richtlinien in diesem Thema verwenden, um eine Richtlinie für Ihre Apache Airflow-Benutzer in IAM zu erstellen und die Richtlinie dann einem Benutzer, einer Gruppe oder einer Rolle in IAM zuzuordnen.
-
FullConsoleAmazonMWAA-Zugriff — Verwenden Sie diese Richtlinie, um die Erlaubnis zur Konfiguration einer Umgebung auf der Amazon MWAA-Konsole zu erteilen.
-
FullApiAmazonMWAA-Zugriff — Verwenden Sie diese Richtlinie, um Zugriff auf alle Amazon MWAA-APIs zu gewähren, die zur Verwaltung einer Umgebung verwendet werden.
-
ReadOnlyAmazonMWAA-Zugriff — Verwenden Sie diese Richtlinie, um Zugriff auf die Ressourcen zu gewähren, die von einer Umgebung auf der Amazon MWAA-Konsole verwendet werden.
-
WebServerAmazonMWAA-Zugriff — Verwenden Sie diese Richtlinie, um Zugriff auf den Apache Airflow-Webserver zu gewähren.
-
AirflowCliAmazonMWAA-Zugriff — Verwenden Sie diese Richtlinie, um Zugriff auf die Ausführung von Apache Airflow CLI-Befehlen zu gewähren.
Um Zugriff zu gewähren, fügen Sie Ihren Benutzern, Gruppen oder Rollen Berechtigungen hinzu:
-
Benutzer und Gruppen in: AWS IAM Identity Center
Erstellen Sie einen Berechtigungssatz. Befolgen Sie die Anweisungen unter Erstellen eines Berechtigungssatzes im AWS IAM Identity Center -Benutzerhandbuch.
-
Benutzer, die in IAM über einen Identitätsanbieter verwaltet werden:
Erstellen Sie eine Rolle für den Identitätsverbund. Befolgen Sie die Anweisungen unter Erstellen einer Rolle für einen externen Identitätsanbieter (Verbund) im IAM-Benutzerhandbuch.
-
IAM-Benutzer:
-
Erstellen Sie eine Rolle, die Ihr Benutzer annehmen kann. Folgen Sie den Anweisungen unter Erstellen einer Rolle für einen IAM-Benutzer im IAM-Benutzerhandbuch.
-
(Nicht empfohlen) Weisen Sie einem Benutzer eine Richtlinie direkt zu oder fügen Sie einen Benutzer zu einer Benutzergruppe hinzu. Befolgen Sie die Anweisungen unter Hinzufügen von Berechtigungen zu einem Benutzer (Konsole) im IAM-Benutzerhandbuch.
-
Vollständige Richtlinie für den Konsolenzugriff: AmazonMWAA FullConsole Access
Ein Benutzer benötigt möglicherweise Zugriff auf die AmazonMWAAFullConsoleAccess
Berechtigungsrichtlinie, wenn er eine Umgebung auf der Amazon MWAA-Konsole konfigurieren muss.
Anmerkung
Ihre vollständige Zugriffsrichtlinie für die Konsole muss die erforderlichen Berechtigungen beinhalten. iam:PassRole
Auf diese Weise kann der Benutzer dienstbezogene Rollen und Ausführungsrollen an Amazon MWAA übergeben. Amazon MWAA übernimmt jede Rolle, um in Ihrem Namen andere AWS Dienste anzurufen. Im folgenden Beispiel wird der iam:PassedToService
Bedingungsschlüssel verwendet, um den Amazon MWAA-Service Principal (airflow.amazonaws.com
) als den Service anzugeben, an den eine Rolle übergeben werden kann.
Weitere Informationen iam:PassRole
dazu finden Sie unter Erteilen von Benutzerberechtigungen zur Übergabe einer Rolle an einen AWS Service im IAM-Benutzerhandbuch.
Verwenden Sie die folgende Richtlinie, wenn Sie Ihre Amazon MWAA-Umgebungen mithilfe von AWS-eigener Schlüsselfor Encryption at Rest erstellen und verwalten möchten.
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":"airflow:*", "Resource":"*" }, { "Effect":"Allow", "Action":[ "iam:PassRole" ], "Resource":"*", "Condition":{ "StringLike":{ "iam:PassedToService":"airflow.amazonaws.com" } } }, { "Effect":"Allow", "Action":[ "iam:ListRoles" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "iam:CreatePolicy" ], "Resource":"arn:aws:iam::
YOUR_ACCOUNT_ID
:policy/service-role/MWAA-Execution-Policy*" }, { "Effect":"Allow", "Action":[ "iam:AttachRolePolicy", "iam:CreateRole" ], "Resource":"arn:aws:iam::YOUR_ACCOUNT_ID
:role/service-role/AmazonMWAA*" }, { "Effect":"Allow", "Action":[ "iam:CreateServiceLinkedRole" ], "Resource":"arn:aws:iam::*:role/aws-service-role/airflow.amazonaws.com/AWSServiceRoleForAmazonMWAA" }, { "Effect":"Allow", "Action":[ "s3:GetBucketLocation", "s3:ListAllMyBuckets", "s3:ListBucket", "s3:ListBucketVersions" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "s3:CreateBucket", "s3:PutObject", "s3:GetEncryptionConfiguration" ], "Resource":"arn:aws:s3:::*" }, { "Effect":"Allow", "Action":[ "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "ec2:DescribeRouteTables" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "ec2:AuthorizeSecurityGroupIngress", "ec2:CreateSecurityGroup" ], "Resource":"arn:aws:ec2:*:*:security-group/airflow-security-group-*" }, { "Effect":"Allow", "Action":[ "kms:ListAliases" ], "Resource":"*" }, { "Effect":"Allow", "Action":"ec2:CreateVpcEndpoint", "Resource":[ "arn:aws:ec2:*:*:vpc-endpoint/*", "arn:aws:ec2:*:*:vpc/*", "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:security-group/*" ] }, { "Effect":"Allow", "Action":[ "ec2:CreateNetworkInterface" ], "Resource":[ "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:network-interface/*" ] } ] }
Verwenden Sie die folgende Richtlinie, wenn Sie Ihre Amazon MWAA-Umgebungen mit einem vom Kunden verwalteten Schlüssel für die Verschlüsselung im Ruhezustand erstellen und verwalten möchten. Um einen vom Kunden verwalteten Schlüssel verwenden zu können, muss der IAM-Principal berechtigt sein, mithilfe des in Ihrem Konto gespeicherten Schlüssels auf AWS KMS Ressourcen zuzugreifen.
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":"airflow:*", "Resource":"*" }, { "Effect":"Allow", "Action":[ "iam:PassRole" ], "Resource":"*", "Condition":{ "StringLike":{ "iam:PassedToService":"airflow.amazonaws.com" } } }, { "Effect":"Allow", "Action":[ "iam:ListRoles" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "iam:CreatePolicy" ], "Resource":"arn:aws:iam::
YOUR_ACCOUNT_ID
:policy/service-role/MWAA-Execution-Policy*" }, { "Effect":"Allow", "Action":[ "iam:AttachRolePolicy", "iam:CreateRole" ], "Resource":"arn:aws:iam::YOUR_ACCOUNT_ID
:role/service-role/AmazonMWAA*" }, { "Effect":"Allow", "Action":[ "iam:CreateServiceLinkedRole" ], "Resource":"arn:aws:iam::*:role/aws-service-role/airflow.amazonaws.com/AWSServiceRoleForAmazonMWAA" }, { "Effect":"Allow", "Action":[ "s3:GetBucketLocation", "s3:ListAllMyBuckets", "s3:ListBucket", "s3:ListBucketVersions" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "s3:CreateBucket", "s3:PutObject", "s3:GetEncryptionConfiguration" ], "Resource":"arn:aws:s3:::*" }, { "Effect":"Allow", "Action":[ "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "ec2:DescribeRouteTables" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "ec2:AuthorizeSecurityGroupIngress", "ec2:CreateSecurityGroup" ], "Resource":"arn:aws:ec2:*:*:security-group/airflow-security-group-*" }, { "Effect":"Allow", "Action":[ "kms:ListAliases" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "kms:DescribeKey", "kms:ListGrants", "kms:CreateGrant", "kms:RevokeGrant", "kms:Decrypt", "kms:Encrypt", "kms:GenerateDataKey*", "kms:ReEncrypt*" ], "Resource":"arn:aws:kms:*:YOUR_ACCOUNT_ID
:key/YOUR_KMS_ID
" }, { "Effect":"Allow", "Action":"ec2:CreateVpcEndpoint", "Resource":[ "arn:aws:ec2:*:*:vpc-endpoint/*", "arn:aws:ec2:*:*:vpc/*", "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:security-group/*" ] }, { "Effect":"Allow", "Action":[ "ec2:CreateNetworkInterface" ], "Resource":[ "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:network-interface/*" ] } ] }
Vollständige API- und Konsolenzugriffsrichtlinie: AmazonMWAA FullApi Access
Ein Benutzer benötigt möglicherweise Zugriff auf die AmazonMWAAFullApiAccess
Berechtigungsrichtlinie, wenn er Zugriff auf alle Amazon MWAA-APIs benötigt, die zur Verwaltung einer Umgebung verwendet werden. Es werden keine Berechtigungen für den Zugriff auf die Apache Airflow-Benutzeroberfläche gewährt.
Anmerkung
Eine vollständige API-Zugriffsrichtlinie muss iam:PassRole
Leistungsberechtigungen beinhalten. Auf diese Weise kann der Benutzer dienstbezogene Rollen und Ausführungsrollen an Amazon MWAA übergeben. Amazon MWAA übernimmt jede Rolle, um in Ihrem Namen andere AWS Dienste anzurufen. Im folgenden Beispiel wird der iam:PassedToService
Bedingungsschlüssel verwendet, um den Amazon MWAA-Service Principal (airflow.amazonaws.com
) als den Service anzugeben, an den eine Rolle übergeben werden kann.
Weitere Informationen iam:PassRole
dazu finden Sie unter Erteilen von Benutzerberechtigungen zur Übergabe einer Rolle an einen AWS Service im IAM-Benutzerhandbuch.
Verwenden Sie die folgende Richtlinie, wenn Sie Ihre Amazon MWAA-Umgebungen mithilfe von AWS-eigener Schlüssel for Encryption at Rest erstellen und verwalten möchten.
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":"airflow:*", "Resource":"*" }, { "Effect":"Allow", "Action":[ "iam:PassRole" ], "Resource":"*", "Condition":{ "StringLike":{ "iam:PassedToService":"airflow.amazonaws.com" } } }, { "Effect":"Allow", "Action":[ "iam:CreateServiceLinkedRole" ], "Resource":"arn:aws:iam::*:role/aws-service-role/airflow.amazonaws.com/AWSServiceRoleForAmazonMWAA" }, { "Effect":"Allow", "Action":[ "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "ec2:DescribeRouteTables" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "s3:GetEncryptionConfiguration" ], "Resource":"arn:aws:s3:::*" }, { "Effect":"Allow", "Action":"ec2:CreateVpcEndpoint", "Resource":[ "arn:aws:ec2:*:*:vpc-endpoint/*", "arn:aws:ec2:*:*:vpc/*", "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:security-group/*" ] }, { "Effect":"Allow", "Action":[ "ec2:CreateNetworkInterface" ], "Resource":[ "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:network-interface/*" ] } ] }
Verwenden Sie die folgende Richtlinie, wenn Sie Ihre Amazon MWAA-Umgebungen mit einem vom Kunden verwalteten Schlüssel für die Verschlüsselung im Ruhezustand erstellen und verwalten möchten. Um einen vom Kunden verwalteten Schlüssel verwenden zu können, muss der IAM-Principal berechtigt sein, mithilfe des in Ihrem Konto gespeicherten Schlüssels auf AWS KMS Ressourcen zuzugreifen.
{ "Version":"2012-10-17", "Statement":[ { "Effect":"Allow", "Action":"airflow:*", "Resource":"*" }, { "Effect":"Allow", "Action":[ "iam:PassRole" ], "Resource":"*", "Condition":{ "StringLike":{ "iam:PassedToService":"airflow.amazonaws.com" } } }, { "Effect":"Allow", "Action":[ "iam:CreateServiceLinkedRole" ], "Resource":"arn:aws:iam::*:role/aws-service-role/airflow.amazonaws.com/AWSServiceRoleForAmazonMWAA" }, { "Effect":"Allow", "Action":[ "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "ec2:DescribeRouteTables" ], "Resource":"*" }, { "Effect":"Allow", "Action":[ "kms:DescribeKey", "kms:ListGrants", "kms:CreateGrant", "kms:RevokeGrant", "kms:Decrypt", "kms:Encrypt", "kms:GenerateDataKey*", "kms:ReEncrypt*" ], "Resource":"arn:aws:kms:*:
:key/
YOUR_ACCOUNT_ID
" }, { "Effect":"Allow", "Action":[ "s3:GetEncryptionConfiguration" ], "Resource":"arn:aws:s3:::*" }, { "Effect":"Allow", "Action":"ec2:CreateVpcEndpoint", "Resource":[ "arn:aws:ec2:*:*:vpc-endpoint/*", "arn:aws:ec2:*:*:vpc/*", "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:security-group/*" ] }, { "Effect":"Allow", "Action":[ "ec2:CreateNetworkInterface" ], "Resource":[ "arn:aws:ec2:*:*:subnet/*", "arn:aws:ec2:*:*:network-interface/*" ] } ] }
YOUR_KMS_ID
Richtlinie für den Zugriff auf Konsolen mit Schreibschutz: AmazonMWAA Access ReadOnly
Ein Benutzer benötigt möglicherweise Zugriff auf die AmazonMWAAReadOnlyAccess
Berechtigungsrichtlinie, wenn er die von einer Umgebung verwendeten Ressourcen auf der Detailseite der Amazon MWAA-Konsolenumgebung einsehen möchte. Es erlaubt einem Benutzer nicht, neue Umgebungen zu erstellen, bestehende Umgebungen zu bearbeiten oder einem Benutzer das Anzeigen der Apache Airflow-Benutzeroberfläche zu ermöglichen.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "airflow:ListEnvironments", "airflow:GetEnvironment", "airflow:ListTagsForResource" ], "Resource": "*" } ] }
Zugriffsrichtlinie für die Apache Airflow-Benutzeroberfläche: AmazonMWAA Access WebServer
Ein Benutzer benötigt möglicherweise Zugriff auf die AmazonMWAAWebServerAccess
Berechtigungsrichtlinie, wenn er auf die Apache Airflow-Benutzeroberfläche zugreifen muss. Es erlaubt dem Benutzer nicht, Umgebungen auf der Amazon MWAA-Konsole anzusehen oder die Amazon MWAA-APIs zu verwenden, um Aktionen auszuführen. Geben Sie dieAdmin
, Op
User
, Viewer
oder die Public
Rolle an, in {airflow-role}
der Sie die Zugriffsebene für den Benutzer des Web-Tokens anpassen möchten. Weitere Informationen finden Sie unter Standardrollen
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "airflow:CreateWebLoginToken", "Resource": [ "arn:aws:airflow:
{your-region}
::role/
YOUR_ACCOUNT_ID
{your-environment-name}
/{airflow-role}
" ] } ] }
Anmerkung
Amazon MWAA bietet IAM-Integration mit den fünf standardmäßigen Apache Airflow-Rollen für die rollenbasierte Zugriffskontrolle
Apache Airflow CLI-Richtlinie: AirflowCli AmazonMWAA Access
Ein Benutzer benötigt möglicherweise Zugriff auf die AmazonMWAAAirflowCliAccess
Berechtigungsrichtlinie, wenn er Apache Airflow CLI-Befehle (z. B.trigger_dag
) ausführen muss. Es erlaubt dem Benutzer nicht, Umgebungen auf der Amazon MWAA-Konsole anzusehen oder die Amazon MWAA-APIs zu verwenden, um Aktionen auszuführen.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "airflow:CreateCliToken" ], "Resource": "*" } ] }
Eine JSON-Richtlinie erstellen
Sie können die JSON-Richtlinie erstellen und die Richtlinie an Ihren Benutzer, Ihre Rolle oder Ihre Gruppe auf der IAM-Konsole anhängen. In den folgenden Schritten wird beschrieben, wie Sie eine JSON-Richtlinie in IAM erstellen.
Um die JSON-Richtlinie zu erstellen
-
Öffnen Sie die Seite Richtlinien
in der IAM-Konsole. -
Wählen Sie Richtlinie erstellen aus.
-
Wählen Sie den Tab JSON.
-
Fügen Sie Ihre JSON-Richtlinie hinzu.
-
Wählen Sie Richtlinie prüfen.
-
Geben Sie einen Wert in das Textfeld für Name und Beschreibung ein (optional).
Sie könnten der Richtlinie beispielsweise einen Namen geben
AmazonMWAAReadOnlyAccess
. -
Wählen Sie Richtlinie erstellen aus.
Beispiel für einen Anwendungsfall zum Anhängen von Richtlinien an eine Entwicklergruppe
Nehmen wir an, Sie verwenden eine Gruppe in IAM mit dem NamenAirflowDevelopmentGroup
, um allen Entwicklern in Ihrem Apache Airflow-Entwicklungsteam Berechtigungen zuzuweisen. Diese Benutzer benötigen Zugriff auf die AmazonMWAAFullConsoleAccess
AmazonMWAAAirflowCliAccess
,- und AmazonMWAAWebServerAccess
Berechtigungsrichtlinien. In diesem Abschnitt wird beschrieben, wie Sie eine Gruppe in IAM erstellen, diese Richtlinien erstellen und anhängen und die Gruppe einem IAM-Benutzer zuordnen. Bei den Schritten wird davon ausgegangen, dass Sie einen AWS eigenen Schlüssel verwenden.
Um die FullConsoleAccess AmazonMWAA-Richtlinie zu erstellen
-
Laden Sie die FullConsoleAccess AmazonMWAA-Zugriffsrichtlinie herunter.
-
Öffnen Sie die Seite Richtlinien
in der IAM-Konsole. -
Wählen Sie Richtlinie erstellen aus.
-
Wählen Sie den Tab JSON.
-
Fügen Sie die JSON-Richtlinie für ein
AmazonMWAAFullConsoleAccess
. -
Ersetzen Sie die folgenden Werte:
-
{your-account-id} — Ihre AWS Konto-ID
(z. B.)0123456789
-
{your-kms-id}
— Die eindeutige Kennung für einen vom Kunden verwalteten Schlüssel. Gilt nur, wenn Sie einen vom Kunden verwalteten Schlüssel für die Verschlüsselung im Ruhezustand verwenden.
-
-
Wählen Sie die Bewertungsrichtlinie aus.
-
Geben Sie
AmazonMWAAFullConsoleAccess
Name ein. -
Wählen Sie Richtlinie erstellen aus.
Um die WebServerAccess AmazonMWAA-Richtlinie zu erstellen
-
Laden Sie die WebServerAccess AmazonMWAA-Zugriffsrichtlinie herunter.
-
Öffnen Sie die Seite Richtlinien
in der IAM-Konsole. -
Wählen Sie Richtlinie erstellen aus.
-
Wählen Sie den Tab JSON.
-
Fügen Sie die JSON-Richtlinie für ein
AmazonMWAAWebServerAccess
. -
Ersetzen Sie die folgenden Werte:
-
{your-region}
— die Region Ihrer Amazon MWAA-Umgebung (z. B.)us-east-1
-
{your-account-id} — Ihre Konto-ID
(z. B.) AWS0123456789
-
{your-environment-name}
— Ihr Amazon MWAA-Umgebungsname (z. B.)MyAirflowEnvironment
-
-
Wählen Sie Richtlinie prüfen.
-
Geben Sie Name ein
AmazonMWAAWebServerAccess
. -
Wählen Sie Richtlinie erstellen aus.
Um die AirflowCliAccess AmazonMWAA-Richtlinie zu erstellen
-
Laden Sie die AirflowCliAccess AmazonMWAA-Zugriffsrichtlinie herunter.
-
Öffnen Sie die Seite Richtlinien
in der IAM-Konsole. -
Wählen Sie Richtlinie erstellen aus.
-
Wählen Sie den Tab JSON.
-
Fügen Sie die JSON-Richtlinie für ein
AmazonMWAAAirflowCliAccess
. -
Wählen Sie die Überprüfungsrichtlinie aus.
-
Geben Sie
AmazonMWAAAirflowCliAccess
Name ein. -
Wählen Sie Richtlinie erstellen aus.
Um die Gruppe zu erstellen
-
Öffnen Sie die Seite Gruppen
in der IAM-Konsole. -
Geben Sie einen Namen von
AirflowDevelopmentGroup
ein. -
Wählen Sie Next Step (Weiter) aus.
-
Geben Sie in
AmazonMWAA
das Feld Filter ein, um die Ergebnisse zu filtern. -
Wählen Sie die drei Richtlinien aus, die Sie erstellt haben.
-
Wählen Sie Next Step (Weiter) aus.
-
Wählen Sie Create Group.
Um sie einem Benutzer zuzuordnen
-
Öffnen Sie die Seite Benutzer
in der IAM-Konsole. -
Wählen Sie einen Benutzer aus.
-
Klicken Sie auf Groups (Gruppen).
-
Wählen Sie Benutzer zu Gruppen hinzufügen.
-
Wählen Sie die AirflowDevelopmentGruppe aus.
-
Wählen Sie dann Add to Groups (Zu Gruppen hinzufügen) aus.
Als nächstes
-
Erfahren Sie unter, wie Sie ein Token für den Zugriff auf die Apache Airflow-Benutzeroberfläche generieren. Zugreifen auf Apache Airflow
-
Weitere Informationen zum Erstellen von IAM-Richtlinien finden Sie unter IAM-Richtlinien erstellen.