Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Eine IAM Rolle als Standard für Amazon Redshift erstellen

Wenn Sie IAM Rollen über die Redshift-Konsole erstellen, erstellt Amazon Redshift programmgesteuert die Rollen in Ihren Rollen AWS-Konto und fügt ihnen automatisch bestehende AWS verwaltete Richtlinien hinzu. Dieser Ansatz bedeutet, dass Sie in der Redshift-Konsole bleiben können und nicht zur IAM Konsole wechseln müssen, um Rollen zu erstellen. Für eine detailliertere Kontrolle der Berechtigungen für eine bestehende IAM Rolle, die in der Amazon Redshift Redshift-Konsole erstellt wurde, können Sie der IAM Rolle eine benutzerdefinierte verwaltete Richtlinie hinzufügen.

IAMRollen, die in der Konsole erstellt wurden

Wenn Sie die Amazon Redshift-Konsole verwenden, um IAM Rollen zu erstellen, verfolgt Amazon Redshift alle IAM Rollen, die über die Konsole erstellt wurden. Amazon Redshift wählt vorab die neueste IAM Standardrolle für die Erstellung aller neuen Cluster und die Wiederherstellung von Clustern aus Snapshots aus.

Sie können eine IAM Rolle über die Konsole erstellen, die über eine Richtlinie mit Berechtigungen zum Ausführen von Befehlen verfügt. SQL Zu diesen Befehlen gehören COPYUNLOAD, CREATE EXTERNALFUNCTION, CREATE EXTERNALTABLE, CREATE EXTERNALSCHEMA, CREATEMODEL, oder CREATELIBRARY. Optional können Sie den Benutzerzugriff auf Ihre AWS Ressourcen detaillierter steuern, indem Sie benutzerdefinierte Richtlinien erstellen und an die IAM Rolle anhängen.

Wenn Sie eine IAM Rolle erstellt und sie mithilfe der Konsole als Standard für den Cluster festgelegt haben, müssen Sie den Amazon-Ressourcennamen (ARN) der IAM Rolle nicht angeben, um die Authentifizierung und Autorisierung durchzuführen.

An die IAM Rolle, die Sie über die Konsole für Ihren Cluster erstellen, wird die AmazonRedshiftAllCommandsFullAccess verwaltete Richtlinie automatisch angehängt. Diese IAM Rolle ermöglicht es Amazon Redshift, Daten für AWS Ressourcen in Ihrem IAM Konto zu kopieren, zu entladen, abzufragen und zu analysieren. Die verwaltete Richtlinie bietet Zugriff auf COPY, UNLOAD, CREATEEXTERNALFUNCTION, CREATEEXTERNALSCHEMACREATEMODEL, und CREATELIBRARYOperationen. Die Richtlinie gewährt auch Berechtigungen zur Ausführung von SELECT Kontoauszügen für verwandte AWS Dienste wie Amazon S3, Amazon CloudWatch Logs SageMaker, Amazon und AWS Glue.

Die CREATE LIBRARY Befehle CREATE EXTERNAL FUNCTION CREATE EXTERNALSCHEMA, CREATEMODEL, und haben ein default Schlüsselwort. Für dieses Schlüsselwort für diese Befehle verwendet Amazon Redshift die IAM Rolle, die als Standard festgelegt und dem Cluster zugeordnet ist, wenn der Befehl ausgeführt wird. Sie können den ROLE Befehl DEFAULT_ IAM _ ausführen, um die aktuelle IAM Standardrolle zu überprüfen, die dem Cluster zugeordnet ist.

Verwenden Sie das ASSUMEROLE Recht, um die Zugriffsrechte der IAM Rolle zu kontrollieren, die für Ihren Redshift-Cluster erstellt und als Standard festgelegt wurde. Diese Zugriffssteuerung gilt für Datenbankbenutzer und -gruppen, wenn sie Befehle wie die oben aufgeführten ausführen. Nachdem Sie einem Benutzer oder einer Gruppe die ASSUMEROLE Berechtigung für die IAM Rolle erteilt haben, kann der Benutzer oder die Gruppe diese Rolle übernehmen, wenn sie diese Befehle ausführen. Mithilfe dieser ASSUMEROLE Berechtigung können Sie bei Bedarf Zugriff auf die entsprechenden Befehle gewähren.

Mit der Amazon-Redshift-Konsole können Sie Folgendes tun:

Berechtigungen der AmazonRedshiftAllCommandsFullAccess verwalteten Richtlinie

Das folgende Beispiel zeigt die Berechtigungen in der AmazonRedshiftAllCommandsFullAccess verwalteten Richtlinie, die bestimmte Aktionen für die IAM Rolle zulassen, die als Standard für Ihren Cluster festgelegt ist. Die IAM Rolle mit den zugehörigen Berechtigungsrichtlinien autorisiert, was ein Benutzer oder eine Gruppe tun darf und was nicht. Mit diesen Berechtigungen können Sie den COPY Befehl von Amazon S3 aus ausführenUNLOAD, ausführen und verwenden. CREATE MODEL

{
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetBucketAcl",
                "s3:GetBucketCors",
                "s3:GetEncryptionConfiguration",
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:ListAllMyBuckets",
                "s3:ListMultipartUploadParts",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject",
                "s3:PutBucketAcl",
                "s3:PutBucketCors",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:CreateBucket"
            ],
            "Resource": [
                "arn:aws:s3:::redshift-downloads",
                "arn:aws:s3:::redshift-downloads/*",
                "arn:aws:s3:::*redshift*",
                "arn:aws:s3:::*redshift*/*"
            ]
}

Das folgende Beispiel zeigt die Berechtigungen in der AmazonRedshiftAllCommandsFullAccess verwalteten Richtlinie, die bestimmte Aktionen für die IAM Rolle zulassen, die als Standard für den Cluster festgelegt ist. Die IAM Rolle mit den zugehörigen Berechtigungsrichtlinien autorisiert, was ein Benutzer oder eine Gruppe tun darf und was nicht. Mit den folgenden Berechtigungen können Sie den CREATE EXTERNAL FUNCTION Befehl ausführen.

{
    "Action": [
        "lambda:InvokeFunction"
    ],
    "Resource": "arn:aws:lambda:*:*:function:*redshift*"
}

Das folgende Beispiel zeigt die Berechtigungen in der AmazonRedshiftAllCommandsFullAccess verwalteten Richtlinie, die bestimmte Aktionen für die IAM Rolle zulassen, die als Standard für den Cluster festgelegt ist. Die IAM Rolle mit den zugehörigen Berechtigungsrichtlinien autorisiert, was ein Benutzer oder eine Gruppe tun darf und was nicht. Mit den folgenden Berechtigungen können Sie die für Amazon Redshift Spectrum erforderlichen CREATE EXTERNAL TABLE Befehle CREATE EXTERNAL SCHEMA und ausführen.

{
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase",
                "glue:DeleteDatabase",
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:UpdateDatabase",
                "glue:CreateTable",
                "glue:DeleteTable",
                "glue:BatchDeleteTable",
                "glue:UpdateTable",
                "glue:GetTable",
                "glue:GetTables",
                "glue:BatchCreatePartition",
                "glue:CreatePartition",
                "glue:DeletePartition",
                "glue:BatchDeletePartition",
                "glue:UpdatePartition",
                "glue:GetPartition",
                "glue:GetPartitions",
                "glue:BatchGetPartition"
            ],
            "Resource": [
                "arn:aws:glue:*:*:table/*redshift*/*",
                "arn:aws:glue:*:*:catalog",
                "arn:aws:glue:*:*:database/*redshift*"
            ]
}

Das folgende Beispiel zeigt die Berechtigungen in der AmazonRedshiftAllCommandsFullAccess verwalteten Richtlinie, die bestimmte Aktionen für die IAM Rolle zulassen, die als Standard für den Cluster festgelegt ist. Die IAM Rolle mit den zugehörigen Berechtigungsrichtlinien autorisiert, was ein Benutzer oder eine Gruppe tun darf und was nicht. Mit den folgenden Berechtigungen können Sie den CREATE EXTERNAL SCHEMA Befehl mithilfe von Verbundabfragen ausführen.

{
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetResourcePolicy",
                "secretsmanager:GetSecretValue",
                "secretsmanager:DescribeSecret",
                "secretsmanager:ListSecretVersionIds"
            ],
            "Resource": [
                "arn:aws:secretsmanager:*:*:secret:*Redshift*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetRandomPassword",
                "secretsmanager:ListSecrets"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "secretsmanager:ResourceTag/Redshift": "true"
                }
            }
},

Verwaltung von IAM Rollen, die für einen Cluster erstellt wurden, mithilfe der Konsole

Verwenden Sie den Abschnitt Cluster in der Konsole, um IAM Rollen zu erstellen, zu ändern und zu entfernen, die über die Amazon Redshift Redshift-Konsole erstellt wurden.

Standardmäßig wird eine IAM Rolle erstellt

Auf der Konsole können Sie eine IAM Rolle für Ihren Cluster erstellen, an die die AmazonRedshiftAllCommandsFullAccess Richtlinie automatisch angehängt wird. Die neue IAM Rolle, die Sie erstellen, ermöglicht Amazon Redshift, Daten aus Amazon-Ressourcen in Ihrem IAM Konto zu kopieren, zu laden, abzufragen und zu analysieren.

Es kann nur eine IAM Rolle als Standard für den Cluster festgelegt werden. Wenn Sie eine andere IAM Rolle als Cluster-Standard erstellen, obwohl derzeit eine vorhandene IAM Rolle als Standard zugewiesen ist, ersetzt die neue IAM Rolle die andere standardmäßig.

IAMRollen aus Ihrem Cluster entfernen

Sie können eine oder mehrere IAM Rollen aus Ihrem Cluster entfernen.

IAMRollen Ihrem Cluster zuordnen

Sie können Ihrem Cluster eine oder mehrere IAM Rollen zuordnen.

Eine IAM Rolle als Standard festlegen

Sie können eine IAM Rolle als Standard für Ihren Cluster festlegen.

Machen Sie eine IAM Rolle nicht mehr zur Standardrolle für Ihren Cluster

Sie können eine IAM Rolle nicht mehr zum Standard für Ihren Cluster machen.

Verwaltung von IAM Rollen, die auf dem Cluster erstellt wurden, mithilfe von AWS CLI

Sie können auf dem Cluster erstellte IAM Rollen mithilfe von verwalten AWS CLI.

So erstellen Sie einen Amazon Redshift Redshift-Cluster mit einer standardmäßig festgelegten IAM Rolle

Verwenden Sie den aws redshift create-cluster AWS CLI Befehl, um einen Amazon Redshift Redshift-Cluster mit einer IAM Rolle zu erstellen, die als Standard für den Cluster festgelegt ist.

Der folgende AWS CLI Befehl erstellt einen Amazon Redshift Redshift-Cluster und die IAM Rolle mit dem Namen myrole1. Der AWS CLI Befehl legt außerdem myrole1 als Standard für den Cluster fest.

aws redshift create-cluster \
    --node-type dc2.large \
    --number-of-nodes 2 \
    --master-username adminuser \
    --master-user-password TopSecret1 \
    --cluster-identifier mycluster \
    --iam-roles 'arn:aws:iam::012345678910:role/myrole1' 'arn:aws:iam::012345678910:role/myrole2' \
    --default-iam-role-arn 'arn:aws:iam::012345678910:role/myrole1'

Der folgende Codeausschnitt ist ein Beispiel für die Antwort.

{
    "Cluster": {
        "ClusterIdentifier": "mycluster",
        "NodeType": "dc2.large",
        "MasterUsername": "adminuser",      
        "DefaultIamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
        "IamRoles": [
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
                "ApplyStatus": "adding"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
                "ApplyStatus": "adding"
            }
        ]
        ...
    }
}

So fügen Sie einem Amazon Redshift Redshift-Cluster eine oder mehrere IAM Rollen hinzu

Verwenden Sie den aws redshift modify-cluster-iam-roles AWS CLI Befehl, um eine oder mehrere IAM Rollen hinzuzufügen, die dem Cluster zugeordnet sind.

Der folgende AWS CLI Befehl fügt myrole4 dem Cluster myrole3 und hinzu.

aws redshift modify-cluster-iam-roles \
    --cluster-identifier mycluster \
    --add-iam-roles 'arn:aws:iam::012345678910:role/myrole3' 'arn:aws:iam::012345678910:role/myrole4'

Der folgende Codeausschnitt ist ein Beispiel für die Antwort.

{
    "Cluster": {
        "ClusterIdentifier": "mycluster",
        "NodeType": "dc2.large",
        "MasterUsername": "adminuser",
        "DefaultIamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
        "IamRoles": [
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole3",
                "ApplyStatus": "adding"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole4",
                "ApplyStatus": "adding"
            }
        ],
        ...
    }
}

Um eine oder mehrere IAM Rollen aus einem Amazon Redshift Redshift-Cluster zu entfernen

Verwenden Sie den aws redshift modify-cluster-iam-roles AWS CLI Befehl, um eine oder mehrere IAM Rollen zu entfernen, die dem Cluster zugeordnet sind.

Mit dem folgenden AWS CLI Befehl werden myrole3 und myrole4 aus dem Cluster entfernt.

aws redshift modify-cluster-iam-roles \
    --cluster-identifier mycluster \
    --remove-iam-roles 'arn:aws:iam::012345678910:role/myrole3' 'arn:aws:iam::012345678910:role/myrole4'

Der folgende Codeausschnitt ist ein Beispiel für die Antwort.

{
    "Cluster": {
        "ClusterIdentifier": "mycluster",
        "NodeType": "dc2.large",
        "MasterUsername": "adminuser",
        "DefaultIamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
        "IamRoles": [
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole3",
                "ApplyStatus": "removing"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole4",
                "ApplyStatus": "removing"
            }
        ],
        ...
    }
}

Um eine zugeordnete IAM Rolle als Standard für den Cluster festzulegen

Verwenden Sie den aws redshift modify-cluster-iam-roles AWS CLI Befehl, um eine zugeordnete IAM Rolle als Standard für den Cluster festzulegen.

Der folgende AWS CLI Befehl ist myrole2 der Standard für den Cluster.

aws redshift modify-cluster-iam-roles \
    --cluster-identifier mycluster \
    --default-iam-role-arn 'arn:aws:iam::012345678910:role/myrole2'

Der folgende Codeausschnitt ist ein Beispiel für die Antwort.

{
    "Cluster": {
        "ClusterIdentifier": "mycluster",
        "NodeType": "dc2.large",
        "MasterUsername": "adminuser",
        "DefaultIamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
        "IamRoles": [
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
                "ApplyStatus": "in-sync"
            }
        ],
        ...
    }
}

Um eine nicht zugeordnete IAM Rolle als Standard für den Cluster festzulegen

Verwenden Sie den Befehl, um eine nicht zugeordnete IAM Rolle als Standard für den Cluster festzulegen. aws redshift modify-cluster-iam-roles AWS CLI

Der folgende AWS CLI Befehl erweitert myrole2 den Amazon Redshift Redshift-Cluster und legt ihn als Standard für den Cluster fest.

aws redshift modify-cluster-iam-roles \
    --cluster-identifier mycluster \
    --add-iam-roles 'arn:aws:iam::012345678910:role/myrole3' \
    --default-iam-role-arn 'arn:aws:iam::012345678910:role/myrole3'

Der folgende Codeausschnitt ist ein Beispiel für die Antwort.

{
    "Cluster": {
        "ClusterIdentifier": "mycluster",
        "NodeType": "dc2.large",
        "MasterUsername": "adminuser",
        "DefaultIamRoleArn": "arn:aws:iam::012345678910:role/myrole3",
        "IamRoles": [
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
                "ApplyStatus": "in-sync"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole3",
                "ApplyStatus": "adding"
            }
        ],
        ...
    }
}

Um einen Cluster aus einem Snapshot wiederherzustellen und eine IAM Rolle als Standard dafür festzulegen

Wenn Sie Ihren Cluster aus einem Snapshot wiederherstellen, können Sie entweder eine vorhandene IAM Rolle zuordnen oder eine neue Rolle erstellen und sie als Standard für den Cluster festlegen.

Verwenden Sie den aws redshift restore-from-cluster-snapshot AWS CLI Befehl, um einen Amazon Redshift Redshift-Cluster aus einem Snapshot wiederherzustellen und eine IAM Rolle als Cluster-Standard festzulegen.

Der folgende AWS CLI Befehl stellt den Cluster aus einem Snapshot wieder her und legt myrole2 ihn als Standard für den Cluster fest.

aws redshift restore-from-cluster-snapshot \
    --cluster-identifier mycluster-clone \
    --snapshot-identifier my-snapshot-id
    --iam-roles 'arn:aws:iam::012345678910:role/myrole1' 'arn:aws:iam::012345678910:role/myrole2' \
    --default-iam-role-arn 'arn:aws:iam::012345678910:role/myrole1'

Der folgende Codeausschnitt ist ein Beispiel für die Antwort.

{
    "Cluster": {
        "ClusterIdentifier": "mycluster-clone",
        "NodeType": "dc2.large",
        "MasterUsername": "adminuser",
        "DefaultIamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
        "IamRoles": [
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole1",
                "ApplyStatus": "adding"
            },
            {
                "IamRoleArn": "arn:aws:iam::012345678910:role/myrole2",
                "ApplyStatus": "adding"
            }
        ],
        ...
    }
}