Después de crear el origen de datos, podrá utilizar la consola de Athena para registrar la conexión como un Catálogo de datos de Glue. Una vez registrado, podrá administrar el catálogo de datos federados y habilitar un control de acceso detallado mediante Lake Formation. Para más información, consulte Creación de un catálogo federado.
Puede registrar los siguientes conectores para integrarlos con AWS Glue para obtener un control de acceso detallado.
Redshift
BigQuery
DynamoDB (versión preliminar)
Snowflake (versión preliminar)
MySQL
PostgreSQL
AWS CMDB
-
Timestream
Requisitos previos
Antes de comenzar, debe completar los requisitos previos.
Asegúrese de que dispone de los roles y permisos necesarios para registrar ubicaciones. Para obtener más información, consulte los Requisitos de los roles en la Guía para desarrolladores de AWS Lake Formation.
-
Asegúrese de que dispone de los roles necesarios de Lake Formation. Para obtener más información, consulte Requisitos previos para conectar el catálogo de datos a orígenes de datos externos en la Guía para desarrolladores de AWS Lake Formation.
-
El rol que registre en Glue debe tener los permisos que se indican en el siguiente ejemplo.
{ "Version": "2012-10-17", "Statement": [{ "Effect": "Allow", "Action": [ "s3:ListBucket", "s3:GetObject" ], "Resource": [ "s3://amzn-s3-demo-bucket/<Your_Spill_Prefix>/*", "s3://amzn-s3-demo-bucket/<Your_Spill_Prefix>" ] }, { "Sid": "lambdainvoke", "Effect": "Allow", "Action": "lambda:InvokeFunction", "Resource": "<Lambda_function_arn>" }, { "Sid": "gluepolicy", "Effect": "Allow", "Action": "glue:*", "Resource": [ "arn:aws:glue:<region>:<account_id>:connection/<connection_name>", "arn:aws:glue:<region>:<account_id>:catalog" ] } ] } Es su responsabilidad determinar y administrar el acceso adecuado a los datos. Con controles de acceso detallados en consultas federadas, se recomienda utilizar la política administrada AmazonAthenaFullAccess. Si desea utilizar una política propia, debe asegurarse de que los usuarios que ejecuten consultas federadas no tengan acceso a los siguientes recursos.
-
lambda:InvokeFunctionen el conector de Lambda especificado en la conexión de Glue -
Acceso a la ubicación del bucket de vertido en IAM
-
Acceso a la conexión de Glue asociada al catálogo federado
-
Rol de Lake Formation en IAM
-
Cómo registrar la conexión mediante la consola
Para registrar la conexión como catálogo de datos de Glue
Abra la consola de Athena en https://console.aws.amazon.com/athena/
. -
En el panel de navegación, elija Orígenes de datos y catálogos.
-
En la lista Orígenes de datos, seleccione el origen de datos que creó para abrir la página Detalles del origen de datos.
-
Seleccione Introducción a AWS Lake Formation.
nota
Después de elegir esta opción, deberá administrar la función de Lambda por cuenta propia. Athena no eliminará la función de Lambda.
-
En Nombre de catálogo de datos, ingrese un nombre único para el catálogo.
-
Elija el rol de IAM de Lake Formation que concede permiso a Lake Formation para invocar la función Lambda. Asegúrese de que el rol tiene los permisos que aparecen en el ejemplo.
-
En el cuadro de texto, escriba confirmar para eliminar el origen de datos de Athena y sustituirlo por un registro de catálogo de datos de Glue.
nota
Esta acción eliminará el origen de datos de Athena y creará un nuevo Catálogo de datos de Glue en su lugar. Una vez completado este proceso, es posible que tenga que actualizar las consultas que acceden al origen de datos para que hagan referencia al Catálogo de datos Glue recién creado.
-
Elija Crear catálogo e ir a Lake Formation. Se abrirá la consola de Lake Formation, donde podrá administrar el catálogo y conceder permisos a los usuarios sobre los catálogos, las bases de datos y las tablas.
