El flujo de trabajo de acceso que se describe en esta sección se aplica al ejecutar consultas de Athena en ubicaciones de Amazon S3, catálogos de datos u objetos de metadatos registrados en Lake Formation. Para obtener más información, consulte Registro de un lago de datos en la Guía para desarrolladores de AWS Lake Formation. Además de registrar los datos, el administrador de Lake Formation aplica permisos de Lake Formation que conceden o revocan el acceso a los metadatos en el catálogo de datos, AWS Glue Data Catalog, o la ubicación de datos en Amazon S3. Para obtener más información, consulte Seguridad y control de acceso a metadatos y datos en la Guía para desarrolladores de AWS Lake Formation.
Cada vez que una entidad principal de Athena (usuario, grupo o rol) ejecuta una consulta sobre datos registrados mediante Lake Formation, Lake Formation verifica que la entidad principal tenga los permisos de Lake Formation adecuados para la base de datos, la tabla y la ubicación del origen de datos según corresponda para la consulta. Si la entidad principal tiene acceso, Lake Formation ofrece credenciales temporales a Athena y se ejecuta la consulta.
En el siguiente diagrama se ilustra cómo funciona el suministro de credenciales en Athena consulta a consulta para una consulta SELECT hipotética en una tabla con una ubicación de Amazon S3 o un catálogo de datos registrado en Lake Formation:
-
Una entidad principal ejecuta una consulta
SELECTen Athena. -
Athena analiza la consulta y verifica los permisos de Lake Formation para ver si se ha concedido a la entidad principal acceso a la tabla y a las columnas de la tabla.
-
Si la entidad principal tiene acceso, Athena solicita credenciales de Lake Formation. Si la entidad principal no tiene acceso, Athena emite un error de acceso denegado.
-
Lake Formation emite credenciales para que Athena las utilice al leer datos de Amazon S3 o del catálogo, junto con la lista de columnas permitidas.
-
Athena utiliza las credenciales temporales de Lake Formation para consultar los datos de Amazon S3 o del catálogo. Una vez completada la consulta, Athena descarta las credenciales.
