Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Autorización de conexiones desde Amazon Quick Sight a almacenes de AWS datos | | | --- | |    Se aplica a: Enterprise Edition y Standard Edition  | | | | --- | |    Público al que va dirigido: administradores de sistemas  | Para que Amazon Quick Sight pueda acceder a sus AWS recursos, debe crear grupos de seguridad para ellos que autoricen las conexiones desde los rangos de direcciones IP que utilizan los servidores de Amazon Quick Sight. Debe tener AWS credenciales que le permitan acceder a estos AWS recursos para modificar sus grupos de seguridad. Utilice los procedimientos de las siguientes secciones para habilitar las conexiones de Amazon Quick Sight. **Topics** + [Autorización de conexiones desde Amazon Quick Sight a instancias de base de datos de Amazon RDS](enabling-access-rds.md) + [Autorización de conexiones desde Amazon Quick Sight a clústeres de Amazon Redshift](enabling-access-redshift.md) + [Autorización de conexiones de Amazon Quick a instancias de Amazon EC2](enabling-access-ec2.md) + [Autorizar conexiones a través de AWS Lake Formation](lake-formation.md) + [Autorización de conexiones a Amazon Service OpenSearch](opensearch.md) + [Autorización de las conexiones a Amazon Athena](athena.md) + [Integraciones de acceso a datos](data-access-integrations.md) # Autorización de conexiones desde Amazon Quick Sight a instancias de base de datos de Amazon RDS | | | --- | |    Se aplica a: Enterprise Edition y Standard Edition  | | | | --- | |    Público al que va dirigido: administradores de sistemas  | Para que Amazon Quick Sight se conecte a una instancia de base de datos de Amazon RDS, debe crear un nuevo grupo de seguridad para esa instancia de base de datos. Este grupo de seguridad contiene una regla de entrada que autoriza el acceso desde el intervalo de direcciones IP adecuado para los servidores Quick incluidos en él. Región de AWS Para obtener más información sobre la autorización de conexiones rápidas, consulte [Habilitar manualmente el acceso a una instancia de Amazon RDS en una VPC](https://docs.aws.amazon.com/quicksight/latest/user/rds-vpc-access.html) o [Habilitar manualmente el acceso a una instancia de Amazon RDS que no está](https://docs.aws.amazon.com/quicksight/latest/user/rds-classic-access.html) en una VPC. Para obtener más información sobre la autorización manual de las conexiones de Amazon Quick Sight, consulte [Habilitar manualmente el acceso a una instancia de Amazon RDS en una VPC](https://docs.aws.amazon.com/quicksight/latest/user/rds-vpc-access.html) o [Habilitar manualmente el acceso a una instancia de Amazon RDS que no esté en una](https://docs.aws.amazon.com/quicksight/latest/user/rds-classic-access.html) Amazon VPC. Para crear y asignar un grupo de seguridad para una instancia de base de datos de Amazon RDS, debe disponer de credenciales de AWS que permitan el acceso a dicha instancia de base de datos. Habilitar la conexión desde los servidores Amazon Quick a su instancia es solo uno de los varios requisitos previos para crear un conjunto de datos basado en una fuente de datos de AWS base de datos. Para obtener más información sobre lo que se requiere, consulte [Crear un conjunto de datos a partir de una base](https://docs.aws.amazon.com/quicksight/latest/user/create-a-database-data-set.html) de datos. **Topics** + [Habilitar manualmente el acceso de Amazon Quick Sight a una instancia de Amazon RDS en una VPC](#rds-vpc-access) + [Habilitar manualmente el acceso desde Amazon Quick Sight a una instancia de Amazon RDS que no esté en una VPC](#rds-classic-access) ## Habilitar manualmente el acceso de Amazon Quick Sight a una instancia de Amazon RDS en una VPC Utilice el siguiente procedimiento para habilitar el acceso de Amazon Quick Sight a una instancia de base de datos de Amazon RDS en una VPC. Si su instancia de base de datos de Amazon RDS se encuentra en una subred privada (en relación con Amazon Quick) o que tiene pasarelas de Internet conectadas, consulte [Conexión a una VPC](https://docs.aws.amazon.com/quicksight/latest/user/working-with-aws-vpc.html) con Amazon Quick. **Para habilitar el acceso de Amazon Quick Sight a una instancia de base de datos de Amazon RDS en una VPC** 1. Inicie sesión en la consola de Amazon RDS Consola de administración de AWS y ábrala en [https://console.aws.amazon.com/rds/](https://console.aws.amazon.com/rds/). 1. Elija **Bases de datos**, localice la instancia de base de datos y vea sus detalles. Para ello, haga clic directamente en su nombre, un hipervínculo en la columna **Identificador de base de datos**. 1. Localice el **Puerto** y anote el valor del **Puerto**. Puede ser un número o un rango. 1. Localice la **VPC** y anote el valor de la **VPC**. 1. Elija el valor de la **VPC** para abrir la consola de VPC. En el panel de navegación de la consola de administración de Amazon VPC, elija **Grupos de seguridad**. 1. Elija **Crear grupo de seguridad**. 1. En la página **Crear grupo de seguridad**, escriba la información del grupo de seguridad, tal y como se indica a continuación: + En **Etiqueta de nombre** y **Nombre del grupo**, escriba **Amazon-QuickSight-access**. + En **Descripción**, escriba **Amazon-QuickSight-access**. + En **VPC**, elija la VPC para su instancia. Esta VPC es la que tiene el **ID de VPC** del que tomó nota. 1. Seleccione **Crear**. En la página de confirmación, anote el **ID de grupo de seguridad**. Elija **Cerrar** para salir de esta pantalla. 1. Elija el nuevo grupo de seguridad de la lista y, a continuación, elija **Reglas de entrada** en la lista de pestañas que aparece a continuación. 1. Elija **Editar reglas** para crear una nueva regla. 1. En la página **Editar reglas de entrada**, elija **Agregar regla** para crear una nueva regla. Use los siguientes valores: + En **Tipo**, elija **Regla TCP personalizada**. + En **Protocol**, seleccione **TCP**. + En **Rango de puertos**, ingrese el rango o número de puerto del clúster de Amazon RDS. Este número (o rango) de puerto es el que anotó anteriormente. + En **Origen**, elija **Personalizado** en la lista. Junto a la palabra «Personalizado», introduce el bloque de direcciones CIDR del Región de AWS lugar en el que piensas usar Amazon Quick. Por ejemplo, para Europa (Irlanda), debe ingresar el bloque de direcciones de CIDR de Europa (Irlanda): `52.210.255.224/27`. Para obtener más información sobre los rangos de direcciones IP compatibles con Amazon Quick Regiones de AWS, consulte [AWS Regiones, sitios web, rangos de direcciones IP y puntos de enlace](https://docs.aws.amazon.com/quicksight/latest/user/regions.html). **nota** Si ha activado Amazon Quick en varias ocasiones Regiones de AWS, puede crear reglas de entrada para cada CIDR de punto final de Amazon Quick. De este modo, Amazon Quick podrá acceder a la instancia de base de datos de Amazon RDS desde cualquier AWS región definida en las reglas de entrada. Cualquier persona que utilice Amazon Quick en varias Regiones de AWS ocasiones será tratada como un único usuario. En otras palabras, aunque utilices Amazon Quick en todos los casos Región de AWS, tanto tu suscripción a Amazon Quick (a veces denominada «cuenta») como tus usuarios son globales. 1. En **Descripción**, introduce una descripción útil, por ejemplo, "*Europe (Ireland) QuickSight*». 1. Elija **Guardar reglas** para guardar la nueva regla de entrada. A continuación, seleccione **Cerrar**. 1. Vuelva a la vista detallada de la instancia de base de datos. Vuelva a la consola de Amazon RDS ([https://console.aws.amazon.com/rds/](https://console.aws.amazon.com/rds/)) y elija **Bases de datos**. 1. Elija el identificador de base de datos para la instancia de RDS pertinente. Elija **Modificar**. Se muestra la misma pantalla tanto si elige modificar en la pantalla de bases de datos como en la pantalla de instancias de base de datos: **Modificar la instancia de base de datos**. 1. Localice la sección **Red y seguridad** (la tercera sección de la parte superior). Los grupos de seguridad asignados actualmente ya se han elegido para **Grupo de seguridad**. No elimine ninguno de los existentes a menos que esté seguro. En su lugar, elija el nuevo grupo de seguridad para añadirlo a los demás grupos seleccionados. Si seguiste el nombre sugerido anteriormente, este grupo podría tener un nombre similar a **Amazon- QuickSight -access**. 1. Desplácese hasta el final de la pantalla. Elija **Continuar** y, a continuación, elija **Modificar la instancia de base de datos**. 1. Elija **Aplicar durante el siguiente mantenimiento programado** (la pantalla indica cuándo ocurrirá esto). No seleccione **Aplicar inmediatamente**. Hacer esto también aplica los cambios adicionales que se encuentran en la cola de modificaciones pendientes. Algunos de estos cambios podrían requerir tiempo de inactividad. Si desactiva el servidor fuera del periodo de mantenimiento, esto puede ser un problema para los usuarios de esta instancia de base de datos. Consulte a los administradores del sistema antes de aplicar cambios inmediatos. 1. Seleccione **Modificar la instancia de base de datos** para confirmar los cambios. A continuación, espere a que pase el siguiente periodo de mantenimiento. ## Habilitar manualmente el acceso desde Amazon Quick Sight a una instancia de Amazon RDS que no esté en una VPC Utilice el siguiente procedimiento para obtener acceso a una instancia de base de datos de Amazon RDS que no esté en una VPC. Puede asociar un grupo de seguridad a una instancia de base de datos mediante **Modify** en la consola de RDS, la API de `ModifyDBInstance` Amazon RDS o el `modify-db-instance` AWS CLI comando. **nota** Esta sección se incluye para fines de compatibilidad con versiones anteriores. **Uso de la consola para obtener acceso a una instancia de base de datos de Amazon RDS que no está en una VPC** 1. Inicie sesión en la consola de Amazon RDS Consola de administración de AWS y ábrala en [https://console.aws.amazon.com/rds/](https://console.aws.amazon.com/rds/). 1. Elija **Bases de datos**, seleccione la instancia de base de datos y elija **Modificar**. 1. Elija **Grupos de seguridad** en el panel de navegación. 1. Elija **Crear grupo de seguridad de base de datos**. 1. Introduzca **Amazon-QuickSight-access** para los valores de **Nombre** y **Descripción** y, a continuación, elija **Crear**. 1. El nuevo grupo de seguridad está seleccionado de forma predeterminada. Seleccione el icono de detalles junto al grupo de seguridad, tal y como se muestra a continuación. 1. En **Connection Type**, elija **CIDR/IP**. 1. En **CIDR/IP para autorizar**, introuzca el bloque de direcciones CIDR adecuado. Para obtener más información sobre los rangos de direcciones IP compatibles con Amazon Quick Regiones de AWS, consulte [AWS Regiones, sitios web, rangos de direcciones IP y puntos de enlace](https://docs.aws.amazon.com/quicksight/latest/user/regions.html). 1. Elija **Autorizar**. 1. Vuelva a la página **Instancias** de la consola de administración de Amazon RDS, elija la instancia a la que quiera habilitar el acceso, elija **Acciones de la instancia** y, a continuación, elija **Modificar**. 1. En la sección **Red y seguridad**, el grupo o grupos de seguridad asignados actualmente ya se han elegido para **Grupo de seguridad**. Pulse CTRL y elija **Amazon- QuickSight -access** además de los demás grupos seleccionados. 1. Elija **Continue** y a continuación elija **Modify DB Instance**. # Autorización de conexiones desde Amazon Quick Sight a clústeres de Amazon Redshift | | | --- | |    Se aplica a: Enterprise Edition y Standard Edition  | | | | --- | |    Público al que va dirigido: administradores de sistemas  | Puede proporcionar acceso a los datos de Amazon Redshift mediante tres métodos de autenticación: propagación de identidades de confianza, ejecución como rol de IAM o credenciales de base de datos de Amazon Redshift. Con la propagación de identidades de confianza, la identidad del usuario se transfiere a Amazon Redshift con el inicio de sesión único administrado por IAM Identity Center. A los usuarios que acceden a un panel en Amazon Quick Sight se les propaga su identidad a Amazon Redshift. En Amazon Redshift, los permisos de datos detallados se aplican a los datos antes de presentarlos al usuario en un activo de Amazon Quick. Los autores de Amazon Quick también pueden conectarse a las fuentes de datos de Amazon Redshift sin necesidad de introducir una contraseña ni tener una función de IAM. Si se usa Amazon Redshift Spectrum, toda la administración de permisos se centraliza en Amazon Redshift. La propagación de identidades de confianza se admite cuando Amazon Quick y Amazon Redshift utilizan la misma instancia de organización de IAM Identity Center. Actualmente, las siguientes características no admiten la propagación de identidades de confianza. + conjuntos de datos de SPICE + SQL personalizado en los orígenes de datos + Alertas + Informes por email + Amazon Quick Q + Exportaciones a CSV, Excel y PDF + Detección de anomalías Para que Amazon Quick se conecte a una instancia de Amazon Redshift, debe crear un nuevo grupo de seguridad para esa instancia. Este grupo de seguridad contiene una regla de entrada que autoriza el acceso desde el intervalo de direcciones IP adecuado para los servidores Amazon Quick que se encuentran en él. Región de AWS Para obtener más información sobre la autorización de las conexiones de Amazon Quick, consulte [Habilitar manualmente el acceso a un clúster de Amazon Redshift en una](https://docs.aws.amazon.com/quicksight/latest/user/redshift-vpc-access.html) VPC. Habilitar la conexión desde los servidores Amazon Quick a su clúster es solo uno de los varios requisitos previos para crear un conjunto de datos basado en una fuente de datos de AWS base de datos. Para obtener más información sobre lo que se requiere, consulte [Crear un conjunto de datos a partir de una base](https://docs.aws.amazon.com/quicksuite/latest/userguide/create-a-database-data-set.html) de datos. **Topics** + [Activación de la propagación de identidades de confianza con Amazon Redshift](#redshift-trusted-identity-propagation) + [Habilitación manual del acceso a un clúster de Amazon Redshift en una VPC](#redshift-vpc-access) + [Habilitación de acceso a Amazon Redshift Spectrum](#redshift-spectrum-access) ## Activación de la propagación de identidades de confianza con Amazon Redshift La propagación de identidad fiable autentica al usuario final en Amazon Redshift cuando accede a los activos de Amazon Quick que utilizan una fuente de datos fiable y habilitada para la propagación de identidades. Cuando un autor crea una fuente de datos con una propagación de identidad confiable, la identidad de los consumidores de la fuente de datos en Amazon Quick Sight se propaga y se inicia sesión CloudTrail. Esto permite a los administradores de bases de datos gestionar de forma centralizada la seguridad de los datos en Amazon Redshift y aplicar automáticamente todas las normas de seguridad de los datos a los consumidores de datos en Amazon Quick. Con otros métodos de autenticación, los permisos de datos del autor que creó el origen de datos se aplican a todos los consumidores del origen de datos. El autor de la fuente de datos puede optar por aplicar seguridad adicional a nivel de fila y columna a las fuentes de datos que cree en Amazon Quick Sight. Los orígenes de datos de la propagación de identidades de confianza solo se admiten en los conjuntos de datos de Direct Query. Los conjuntos de datos de SPICE no admiten actualmente la propagación de identidades de confianza. **Topics** + [Requisitos previos](#redshift-trusted-identity-propagation-prerequisites) + [Habilitación de la propagación de identidades de confianza en Amazon Quick Sight](#redshift-trusted-identity-propagation-enable) + [Conexión a Amazon Redshift con propagación de identidades de confianza](#redshift-trusted-identity-propagation-connect) ### Requisitos previos Antes de comenzar, asegúrese de que cumple con todos los requisitos previos. + La propagación de identidad fiable solo es compatible con las cuentas Amazon Quick que están integradas con IAM Identity Center. Para obtener más información, consulte [Configurar su cuenta Amazon Quick con IAM Identity Center](https://docs.aws.amazon.com/quicksight/latest/user/sec-identity-management-identity-center.html). + Aplicación de Amazon Redshift integrada con IAM Identity Center. El clúster de Amazon Redshift que utilice debe estar en la misma organización que la cuenta de Amazon Quick que desee utilizar. AWS Organizations El clúster también debe configurarse con la misma instancia de organización en el Centro de identidades de IAM en la que está configurada tu cuenta de Amazon Quick. Para obtener más información sobre la configuración de un clúster de Amazon Redshift, consulte [Integrating IAM Identity Center](https://docs.aws.amazon.com/redshift/latest/mgmt/redshift-iam-access-control-idp-connect.html). ### Habilitación de la propagación de identidades de confianza en Amazon Quick Sight Para configurar Amazon Quick Sight para que se conecte a fuentes de datos de Amazon Redshift con una propagación de identidad fiable, configure los ámbitos de Amazon OAuth Redshift en su cuenta de Amazon Quick. Para añadir un ámbito que permita a Amazon Quick autorizar la propagación de la identidad en Amazon Redshift, especifique el Cuenta de AWS ID de la cuenta de Amazon Quick y el servicio con el que quiere autorizar la propagación de la identidad, en este caso. `'REDSHIFT'` Especifique el ARN de la aplicación IAM Identity Center del clúster de Amazon Redshift al que va a autorizar a Amazon Quick a propagar las identidades de los usuarios. Esta información se puede encontrar en la consola de Amazon Redshift. Si no especifica los destinos autorizados para el ámbito de Amazon Redshift, Amazon Quick autoriza a los usuarios de cualquier clúster de Amazon Redshift que compartan la misma instancia de IAM Identity Center. El siguiente ejemplo configura Amazon Quick para que se conecte a fuentes de datos de Amazon Redshift con propagación de identidad confiable. ``` aws quicksight update-identity-propagation-config --aws-account-id "AWSACCOUNTID" --service "REDSHIFT" --authorized-targets "arn:aws:sso::XXXXXXXXXXXX:application/ssoins-XXXXXXXXXXXX/apl-XXXXXXXXXXXX" "arn:aws:sso::XXXXXXXXXXXX:application/ssoins-XXXXXXXXXXXX/apl-XXXXXXXXXXXX" ``` En el siguiente ejemplo, se eliminan los OAuth ámbitos de una cuenta de Amazon Quick. ``` aws quicksight delete-identity-propagation-config --aws-account-id "AWSACCOUNTID" --service "REDSHIFT" --authorized-targets "arn:aws:sso::XXXXXXXXXXXX:application/ssoins-XXXXXXXXXXXXapl-XXXXXXXXXXXX "arn:aws:sso::XXXXXXXXXXXX:application/ssoins-XXXXXXXXXXXX/apl-XXXXXXXXXXXX" ``` En el siguiente ejemplo, se enumeran todos los OAuth ámbitos que se encuentran actualmente en una cuenta de Amazon Quick. ``` aws quicksight list-identity-propagation-configs --aws-account-id "AWSACCOUNTID" ``` ### Conexión a Amazon Redshift con propagación de identidades de confianza Use el siguiente procedimiento para conectarse a la propagación de identidades de confianza de Amazon Redshift. **Conexión a Amazon Redshift con la propagación de identidades de confianza** 1. Cree un conjunto de datos nuevo en Amazon Quick. Para obtener más información sobre la creación de un conjunto de datos, consulte [Creación de conjuntos de datos.](https://docs.aws.amazon.com/quicksight/latest/user/creating-data-sets.html) 1. Elija Amazon Redshift como origen de datos para el nuevo conjunto de datos. **nota** El tipo de autenticación de un origen de datos existente no se puede cambiar por una propagación de identidad de confianza. 1. Elija IAM Identity Center como opción de identidad para el origen de datos y, a continuación, elija **Crear el origen de datos**. ## Habilitación manual del acceso a un clúster de Amazon Redshift en una VPC | | | --- | |  Se aplica a: Enterprise Edition  | Utilice el siguiente procedimiento para habilitar el acceso de Amazon Quick Sight a un clúster de Amazon Redshift en una VPC. **Para habilitar el acceso de Amazon Quick Sight a un clúster de Amazon Redshift en una VPC** 1. Inicie sesión en la consola de Amazon Redshift Consola de administración de AWS y ábrala en. [https://console.aws.amazon.com/redshiftv2/](https://console.aws.amazon.com/redshiftv2/) 1. Navega hasta el clúster que quieres que esté disponible en Amazon Quick. 1. En la sección **Propiedades del clúster**, busque **Puerto**. Anote el valor de **Port**. 1. En la sección **Propiedades del clúster**, busque **ID de VPC** y anote el valor de **ID de VPC**. Elija **ID de VPC** para abrir la consola de Amazon VPC. 1. En la consola de Amazon VPC, elija **Grupos de seguridad** en el panel de navegación. 1. Elija **Crear grupo de seguridad**. 1. En la página **Crear grupo de seguridad**, escriba la información del grupo de seguridad, tal y como se indica a continuación: + En **Nombre del grupo de seguridad**, introduzca **redshift-security-group**. + En **Descripción**, escriba **redshift-security-group**. + Para **VPC**, elija la VPC para su clúster de Amazon Redshift. Esta es la VPC con el ID de VPC que anotó. 1. Elija **Creación de grupo de seguridad**. El nuevo grupo de seguridad debe aparecer en la pantalla. 1. Cree un segundo grupo de seguridad con las siguientes propiedades. + En **Nombre del grupo de seguridad**, introduzca **quicksight-security-group**. + En **Descripción**, escriba **quicksight-security-group**. + Para **VPC**, elija la VPC para su clúster de Amazon Redshift. Esta es la VPC con el ID de VPC que anotó. 1. Elija **Creación de grupo de seguridad**. 1. Tras crear los nuevos grupos de seguridad, cree reglas de entrada para los nuevos grupos. Elija el nuevo grupo de seguridad de `redshift-security-group` e introduzca los siguientes valores. + En **Tipo**, elija **Amazon Redshift**. + En **Protocol**, seleccione **TCP**. + En **Rango de puertos**, ingrese el número de puerto del clúster de Amazon Redshift al que proporciona acceso. Este es el número de puerto que anotó en un paso anterior. + En **Origen**, introduzca el ID del grupo de seguridad de `quicksight-security-group`. 1. Elija **Guardar reglas** para guardar la nueva regla de entrada. 1. Repita el paso anterior para `quicksight-security-group` e introduzca los valores siguientes. + En **Tipo**, seleccione **Todo el tráfico**. + En **Protocolo**, elija **Todos**. + En **Rango de puertos**, elija **Todos**. + En **Origen**, introduzca el ID del grupo de seguridad de `redshift-security-group`. 1. Elija **Guardar reglas** para guardar la nueva regla de entrada. 1. En Amazon Quick, navega hasta el menú **Gestionar Amazon Quick**. 1. Elija **Administrar conexiones VPC** y, a continuación, elija **Agregar conexión con VPC**. 1. Configure la nueva conexión de VPC con los siguientes valores. + En **Nombre de la conexión VPC**, elija un nombre significativo para la conexión de VPC. + En **ID de VPC**, elija la VPC en la que se encuentra el clúster de Amazon Redshift. + En **ID de subred**, elija la subred para la zona de disponibilidad (AZ) utilizada para Amazon Redshift. + En **ID de grupo de seguridad**, copie y pegue el ID del grupo de seguridad para `quicksight-security-group`. 1. Seleccione **Crear**. La generación de la nueva VPC podría llevar varios minutos. 1. En la consola de Amazon Redshift, navegue hasta el clúster de Amazon Redshift para el que el `redshift-security-group` está configurado. Elija **Propiedades**. En **Configuración de red y seguridad**, introduzca el nombre del grupo de seguridad. 1. En Amazon Quick, elija **Conjuntos de datos y**, a continuación, elija **Nuevo conjunto** de datos. Cree un nuevo conjunto de datos los valores que se indican a continuación. + En **Origen de datos**, elija **Amazon Redshift con detección automática**. + Asigne un nombre significativo al origen de datos. + El ID de instancia debe rellenarse automáticamente con la conexión de VPC que creaste en Amazon Quick. Si el ID de instancia no se rellena automáticamente, elija la VPC que creó de la lista desplegable. + Introduzca las credenciales de la base de datos. Si tu cuenta Amazon Quick utiliza una propagación de identidad fiable, selecciona Inicio de **sesión único**. 1. Valide la conexión y, a continuación, elija **Crear origen de datos**. Si desea restringir aún más las reglas de salida predeterminadas, actualice la regla de salida del `quicksight-security-group` para permitir solo el tráfico de Amazon Redshift a `redshift-security-group`. También puede eliminar la regla de salida que se encuentra en el `redshift-security-group`. ## Habilitación de acceso a Amazon Redshift Spectrum Con Amazon Redshift Spectrum, puede conectar Amazon Quick a un catálogo externo con Amazon Redshift. Por ejemplo, puede obtener acceso al catálogo de Amazon Athena. A continuación, puede consultar datos no estructurados en su lago de datos de Amazon S3 mediante un clúster de Amazon Redshift en lugar del motor de consultas Athena. También puede combinar los conjuntos de datos que incluyen los datos almacenados en Amazon Redshift y en S3. A continuación, puede obtener acceso a ellos mediante la sintaxis SQL en Amazon Redshift. Tras registrar el catálogo de datos (para Athena) o el esquema externo (para un [metaalmacén de Hive](https://aws.amazon.com/blogs/big-data/migrate-external-table-definitions-from-a-hive-metastore-to-amazon-athena/)), puede usar Amazon Quick para elegir el esquema externo y las tablas de Amazon Redshift Spectrum. Este proceso funciona como para cualquier otra tabla de Amazon Redshift del clúster. No es necesario cargar ni transformar los datos. Para obtener más información sobre el uso de Amazon Redshift Spectrum, consulte[Consulta de datos externos mediante Amazon Redshift Spectrum](https://docs.aws.amazon.com/redshift/latest/dg/c-using-spectrum.html) en la *Guía para desarrolladores de bases de datos Amazon Redshift*. Para conectarse mediante Redshift Spectrum, haga lo siguiente: + Cree o identifique un rol de IAM asociado al clúster de Amazon Redshift. + Añada las políticas de IAM; `AmazonS3ReadOnlyAccess` y `AmazonAthenaFullAccess` a la función de IAM. + Registre un esquema externo o catálogo de datos para las tablas que tiene previsto usar. Redshift Spectrum le permite separar el almacenamiento de la computación, por lo que puede escalarlos por separado. Solo pagará por las consultas que ejecute. Para conectarse a las tablas de Redshift Spectrum, no necesita conceder a Amazon Quick acceso a Amazon S3 o Athena. Amazon Quick solo necesita acceder al clúster de Amazon Redshift. Para obtener más información sobre la configuración de Redshift Spectrum, consulte [Introducción a Amazon Redshift Spectrum](https://docs.aws.amazon.com/redshift/latest/dg/c-getting-started-using-spectrum.html) en la *Guía para desarrolladores de bases de datos de Amazon Redshift*. # Autorización de conexiones de Amazon Quick a instancias de Amazon EC2 | | | --- | |    Se aplica a: Enterprise Edition y Standard Edition  | | | | --- | |    Público al que va dirigido: administradores de sistemas  | Para que Amazon Quick Sight se conecte a una instancia de Amazon EC2, debe crear un nuevo grupo de seguridad para esa instancia. Este grupo de seguridad contiene una regla de entrada que autoriza el acceso desde el intervalo de direcciones IP adecuado para los servidores Quick incluidos en él. Región de AWS Para modificar los grupos de seguridad para estas instancias de Amazon EC2, debe disponer de credenciales de AWS que le permitan obtener acceso a las instancias. Habilitar la conexión desde los servidores Quick a la instancia es solo uno de los varios requisitos previos para crear un conjunto de datos basado en una fuente de datos de AWS base de datos. Para obtener más información sobre lo que se requiere, consulte [Crear un conjunto de datos a partir de una base](https://docs.aws.amazon.com/quicksight/latest/user/create-a-database-data-set.html) de datos. **Para habilitar el acceso rápido de Amazon a una instancia de Amazon EC2** 1. Inicie sesión en la consola Amazon EC2 Consola de administración de AWS y ábrala en. [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) 1. Si la instancia EC2 se encuentra en una VPC, elíjala para ver su panel de detalles. Busque su ID de VPC y anótelo para su uso posterior. 1. Elija **Grupos de seguridad** en la sección **RED Y SEGURIDAD** del panel de navegación. A continuación, elija **Crear grupo de seguridad**, tal y como se muestra a continuación. 1. Escriba la información del grupo de seguridad del modo siguiente: + En **Nombre del grupo de seguridad**, introduzca **Amazon-QuickSight-access**. + En **Descripción**, escriba **Amazon-QuickSight-access**. + En **VPC**, elija el ID de VPC que anotó en el paso 2 si la instancia de Amazon EC2 está en una VPC. En caso contrario, elija **No VPC**. 1. Elija **Agregar regla** en la pestaña **Entrada**. 1. Cree una nueva regla con los siguientes valores: + En **Tipo**, elija **Regla TCP personalizada**. + En **Protocol**, seleccione **TCP**. + (Opcional) En **Rango de puertos**, ingrese el número de puerto usado por la instancia en esta instancia de Amazon EC2 para la que va a proporcionar acceso. + En **Source**, introduce el bloque de direcciones CIDR del Región de AWS lugar en el que piensas usar Amazon Quick. Por ejemplo, en este caso es el bloque de direcciones de CIDR para Europa (Irlanda): `52.210.255.224/27`. Para obtener más información sobre los rangos de direcciones IP de Amazon Quick en AWS las regiones compatibles, consulte [AWS Regiones, sitios web, rangos de direcciones IP y puntos de enlace](https://docs.aws.amazon.com/quicksight/latest/user/regions.html). **nota** Si ha activado Amazon Quick en varias ocasiones Regiones de AWS, puede crear reglas de entrada para cada CIDR de punto final de Amazon Quick. De este modo, Amazon Quick podrá acceder a la instancia de base de datos de Amazon RDS desde cualquier instancia Región de AWS definida en las reglas de entrada. Un usuario o administrador de Amazon Quick que utiliza Amazon Quick en varias AWS regiones se considera un solo usuario. En otras palabras, aunque utilices Amazon Quick en todos los sitios Región de AWS, tanto tu cuenta de Amazon Quick como tus usuarios son globales. 1. Seleccione **Crear**. 1. Elija **Instances** en la sección **INSTANCES** del panel de navegación y, a continuación, elija la instancia a la que quiere habilitar el acceso. 1. Seleccione **Acciones**, después elija **Redes** y, por último, seleccione **Cambiar grupos de seguridad**. 1. En **Cambiar grupos de seguridad**, elija el grupo de seguridad **Amazon QuickSight - access**. A continuación, elija **Asignar grupos de seguridad**, tal y como se muestra a continuación. # Autorizar conexiones a través de AWS Lake Formation | | | --- | |  Se aplica a: Enterprise Edition  | | | | --- | |    Público al que va dirigido: administradores de sistemas  | Si está consultando datos Amazon Athena, puede utilizarlos AWS Lake Formation para simplificar la forma en que protege sus datos y se conecta a ellos desde Amazon Quick Sight. Lake Formation se suma al modelo de permisos AWS Identity and Access Management (IAM) al proporcionar su propio modelo de permisos que se aplica a los servicios de AWS análisis y aprendizaje automático. Este modelo de permisos definido de forma centralizada controla el acceso a los datos de forma pormenorizada mediante un sencillo mecanismo de concesión y revocación. Puede usar Lake Formation en lugar de, o además de, usar políticas con alcance limitado con IAM. Cuando configura Lake Formation, registra sus orígenes de datos para que pueda mover los datos a un nuevo lago de datos en Amazon S3. Tanto Lake Formation como Athena funcionan a la perfección con AWS Glue Data Catalog, lo que facilita su uso conjunto. Las bases de datos y tablas de Athena son contenedores de metadatos. Estos contenedores describen el esquema subyacente de los datos, las instrucciones del lenguaje de definición de datos (DDL) y la ubicación de los datos en Amazon S3. El siguiente diagrama muestra las relaciones de los AWS servicios involucrados. ![\[alt text not found\]](http://docs.aws.amazon.com/es_es/quick/latest/userguide/images/lake-formation-architecture-drawing-1.png) Una vez configurada Lake Formation, puede utilizar Amazon Quick para acceder a bases de datos y tablas por su nombre o mediante consultas SQL. Amazon Quick proporciona un editor con todas las funciones en el que puede escribir consultas SQL. O puede usar la consola Athena AWS CLI, el o su editor de consultas favorito. Para obtener más información, consulte [Acceso a Athena](https://docs.aws.amazon.com/athena/latest/ug/accessing-ate.html) en la *Guía del usuario de Amazon Athena*. Utilice los temas siguientes para configurar una conexión de Lake Formation a través de Lake Formation o Amazon Quick. **Topics** + [Permitir la conexión desde Lake Formation](#lake-formation-lf-steps) + [Habilitar la conexión desde Amazon Quick](#lake-formation-qs-steps) ## Permitir la conexión desde Lake Formation Antes de empezar a utilizar esta solución con Quick, asegúrese de que puede acceder a sus datos con Athena with Lake Formation. Tras comprobar que la conexión funciona a través de Athena, solo tiene que comprobar que Amazon Quick puede conectarse a Athena. De este modo, no tendrá que solucionar los problemas de conexión entre los tres productos a la vez. Una forma sencilla de probar la conexión es utilizar la [consola de consultas de Athena](https://console.aws.amazon.com/athena/) para ejecutar un comando SQL sencillo, por ejemplo, `SELECT 1 FROM table`. Para configurar Lake Formation, la persona o el equipo que trabaja en él necesita acceder para crear un nuevo rol de IAM y a Lake Formation. También necesita la información que se muestra en la siguiente lista. Para obtener más información, consulte [Configuración de Lake Formation](https://docs.aws.amazon.com/lake-formation/latest/dg/getting-started-setup.html) en la *Guía para desarrolladores de AWS Lake Formation *. + Recopile los nombres de los recursos de Amazon (ARNs) de los usuarios y grupos de Quick que necesitan acceder a los datos de Lake Formation. Estos usuarios deben ser autores o administradores de Amazon Quick. **Para encontrar un usuario y un grupo de Amazon Quick ARNs** 1. Utilice AWS CLI para buscar usuarios ARNs para los autores y administradores de Amazon Quick. Para ello, ejecute el siguiente comando `list-users` en su terminal (Linux o Mac) o en la línea de comandos (Windows). ``` aws quicksight list-users --aws-account-id 111122223333 --namespace default --region us-east-1 ``` La respuesta devuelve información de cada usuario. En el siguiente ejemplo, se muestra el nombre de recurso de Amazon (ARN) en negrita. ``` RequestId: a27a4cef-4716-48c8-8d34-7d3196e76468 Status: 200 UserList: - Active: true Arn: arn:aws:quicksight:us-east-1:111122223333:user/default/SaanviSarkar Email: SaanviSarkar@example.com PrincipalId: federated/iam/AIDAJVCZOVSR3DESMJ7TA Role: ADMIN UserName: SaanviSarkar ``` Para evitar usar el AWS CLI, puede crear el ARNs para cada usuario manualmente. 1. (Opcional) Utilice AWS CLI ARNs para buscar grupos rápidos de Amazon ejecutando el siguiente `list-group` comando en su terminal (Linux o Mac) o en la línea de comandos (Windows). ``` aws quicksight list-groups --aws-account-id 111122223333 --namespace default --region us-east-1 ``` La respuesta devuelve información de cada grupo. En el siguiente ejemplo, el ARN aparece en negrita. ``` GroupList: - Arn: arn:aws:quicksight:us-east-1:111122223333:group/default/DataLake-Scorecard Description: Data Lake for CXO Balanced Scorecard GroupName: DataLake-Scorecard PrincipalId: group/d-90671c9c12/6f9083c2-8400-4389-8477-97ef05e3f7db RequestId: c1000198-18fa-4277-a1e2-02163288caf6 Status: 200 ``` Si no tienes ningún grupo de Amazon Quick, añade un grupo mediante el comando AWS CLI para ejecutar el `create-group` comando. Actualmente, no hay ninguna opción para hacerlo desde la consola Amazon Quick. Para obtener más información, consulte [Creación y administración de grupos en Amazon Quick](https://docs.aws.amazon.com/quicksight/latest/user/creating-quicksight-groups.html). Para evitar el uso de AWS CLI, puede crear el ARNs para cada grupo manualmente. ## Habilitar la conexión desde Amazon Quick Para trabajar con Lake Formation y Athena, asegúrese de tener configurados los permisos de AWS recursos en Amazon Quick: + Habilite el acceso a Amazon Athena. + Habilite el acceso a los buckets correctos en Amazon S3. Normalmente, el acceso a S3 se habilita al activar Athena. Sin embargo, como puede cambiar permisos de S3 fuera de ese proceso, es recomendable verificarlos por separado. Para obtener información sobre cómo verificar o cambiar los permisos de los AWS recursos en Quick, consulte [Permitir el descubrimiento automático de AWS recursos](https://docs.aws.amazon.com/quicksight/latest/user/autodiscover-aws-data-sources.html) y [Acceder a las fuentes de datos](https://docs.aws.amazon.com/quicksight/latest/user/access-to-aws-resources.html). # Autorización de conexiones a Amazon Service OpenSearch | | | --- | |  Se aplica a: Enterprise Edition  | | | | --- | |    Público al que va dirigido: administradores de sistemas  | Antes de poder utilizarlos OpenSearch en un conjunto de datos de Amazon Quick Sight, el administrador de Quick debe realizar algunas tareas con la colaboración de una persona que tenga acceso a la OpenSearch consola. Para empezar, identifique cada OpenSearch dominio al que desee conectarse. A continuación, recopile la siguiente información para cada dominio: + El nombre del OpenSearch dominio. + La OpenSearch versión utilizada por este dominio. + El nombre de recurso de Amazon (ARN) del OpenSearch dominio. + El punto de conexión HTTPS. + La URL de OpenSearch los paneles, si usa paneles. Para extrapolar la URL de los paneles, agregue “`/dashboards/`“ a un punto de conexión. + Si el dominio tiene un punto final de VPC, recopile toda la información relacionada en la pestaña VPC de la consola de servicio: OpenSearch + El ID de la VPC + Los grupos de seguridad de VPC + El rol o roles de IAM asociados + Las zonas de disponibilidad asociadas + Las subredes asociadas + Si el dominio tiene un punto de conexión normal (no un punto de conexión de VPC), tenga en cuenta que utiliza la red pública. + La hora de inicio de la instantánea automática diaria (si los usuarios quieren saberlo). Antes de continuar, el administrador de Amazon Quick habilita las conexiones autorizadas desde Amazon Quick to OpenSearch Service. Este proceso es obligatorio para todos los AWS servicios a los que te conectes desde Amazon Quick. Debe hacerlo solo una vez Cuenta de AWS por cada AWS servicio que utilice como fuente de datos. En el caso del OpenSearch servicio, el proceso de autorización añade la política AWS gestionada `AWSQuickSightOpenSearchPolicy` a su Cuenta de AWS. **importante** Asegúrese de que la política de IAM de su OpenSearch dominio no entre en `AWSQuickSightOpenSearchPolicy` conflicto con los permisos establecidos. Puedes encontrar la política de acceso al dominio en la consola OpenSearch de servicio. Para obtener más información, consulta [Cómo configurar las políticas de acceso](https://docs.aws.amazon.com/opensearch-service/latest/developerguide/ac.html#ac-creating) en la *Guía para desarrolladores de Amazon OpenSearch Service*. **Para activar o desactivar las conexiones desde Amazon Quick to OpenSearch Service** 1. En Amazon Quick, selecciona **Administrator** y **Administra Amazon Quick**. 1. En **Seguridad y permisos**, seleccione **Añadir o eliminar**. 1. Para activar las conexiones, selecciona la casilla **Amazon OpenSearch Service**. Para deshabilitar las conexiones, desmarca la casilla **Amazon OpenSearch Service**. 1. Para confirmar sus opciones, elija **Actualizar**. Si es necesario, utilice los temas siguientes para configurar una conexión de OpenSearch VPC y los permisos de acceso rápido a Amazon. OpenSearch **Topics** + [Uso de una conexión VPC](#opensearch-and-vpc-connection) + [Uso de permisos OpenSearch](#opensearch-permissions) ## Uso de una conexión VPC En algunos casos, el OpenSearch dominio se encuentra en una nube privada virtual (VPC) basada en el servicio Amazon VPC. Si es así, asegúrate de determinar si Amazon Quick ya está conectado al ID de VPC que utiliza el OpenSearch dominio. Puede reutilizar una conexión VPC existente. Si no sabe si funciona, puede hacer una prueba. Para obtener más información, consulte [Probar la conexión a la fuente de datos de Amazon VPC](https://docs.aws.amazon.com/quicksight/latest/user/vpc-creating-a-quicksight-data-source-profile.html). Si aún no hay una conexión definida en Amazon Quick para la VPC que quiere usar, puede crear una. Esta tarea es un proceso de varios pasos que debe completar antes de continuar. Para obtener información sobre cómo añadir Amazon Quick a una VPC y añadir una conexión de Amazon Quick a la VPC, consulte Conexión [a una Amazon VPC con Amazon](https://docs.aws.amazon.com/quicksight/latest/user/working-with-aws-vpc.html) Quick. ## Uso de permisos OpenSearch Tras configurar Amazon Quick para que se conecte al OpenSearch servicio, es posible que tengas que habilitar los permisos de entrada OpenSearch. Para esta parte del proceso de configuración, puede utilizar el enlace de los OpenSearch paneles de control de cada OpenSearch dominio. Use la siguiente lista para poder determinar qué permisos necesita: 1. En el caso de los dominios que utilicen un control de acceso detallado, configure permisos en forma de rol. Este proceso es similar al uso de políticas con alcance limitado en Amazon Quick. 1. En cada dominio para el que cree un rol, agregue una asignación de roles. Para obtener más información, consulte a continuación. Si tu OpenSearch dominio tiene activado un [control de acceso detallado](https://docs.aws.amazon.com/opensearch-service/latest/developerguide/fgac.html), hay algunos permisos que debes configurar para que se pueda acceder al dominio desde Amazon Quick. Realice estos pasos para cada dominio que desee utilizar. El siguiente procedimiento utiliza OpenSearch paneles de control, que es una herramienta de código abierto que funciona con. OpenSearch Encontrará el enlace a los paneles de control en el panel de control del dominio de la OpenSearch consola de servicio. **Para añadir permisos a un dominio para permitir el acceso desde Amazon Quick** 1. Abre OpenSearch los paneles del OpenSearch dominio con el que quieres trabajar. La URL es `opensearch-domain-endpoint/dashboards/`. 1. En el panel de navegación, elija **Seguridad**. Si no ve el panel de navegación, ábralo con el icono de menú situado en la esquina superior izquierda. Para mantener el menú abierto, seleccione **Navegación por acoplamientos** en la parte inferior izquierda. 1. Elija **Roles**, **Crear rol**. 1. Llame al rol **quicksight\$1role**. Puede elegir un nombre diferente, pero le recomendamos este porque lo usamos en nuestra documentación y, por lo tanto, es más fácil de usar. 1. En **Permisos del clúster**, agregue los siguientes permisos: + `cluster:monitor/main` + `cluster:monitor/health` + `cluster:monitor/state` + `indices:data/read/scroll` + `indices:data/read/scroll/clear`, 1. En **Permisos de índice**, especifique **\$1** como patrón de índice. 1. En **Permisos de índice**, agregue los siguientes permisos: + `indices:admin/get` + `indices:admin/mappings/get` + `indices:admin/mappings/fields/get*` + `indices:data/read/search*` + `indices:monitor/settings/get` 1. Seleccione **Crear**. 1. Repita este procedimiento para cada OpenSearch dominio que vaya a utilizar. Utilice el siguiente procedimiento para agregar una asignación de roles para los permisos que agregó en el procedimiento anterior. Puede que le resulte más eficaz agregar los permisos y la asignación de roles como parte de un único proceso. Estas instrucciones están separadas para una mayor claridad. **Creación de una asignación de roles para el rol de IAM que ha agregado** 1. Abre OpenSearch los paneles del OpenSearch dominio con el que quieres trabajar. La URL es `opensearch-domain-endpoint/dashboards/`. 1. En el panel de navegación, elija **Seguridad**. 1. Busque **quicksight\$1role** en la lista y ábralo. 1. Elija **Usuarios asignados**, **Administrar asignación**. 1. En la sección **Funciones de backend**, introduzca el ARN de la función de IAM AWS gestionada para Amazon Quick. A continuación se muestra un ejemplo. ``` arn:aws:iam::AWS-ACCOUNT-ID:role/service-role/aws-quicksight-service-role-v0 ``` 1. Elija **Asignar**. 1. Repita este procedimiento para cada OpenSearch dominio que desee usar. # Autorización de las conexiones a Amazon Athena Si necesita utilizar Amazon Quick Sight con Amazon Athena o Amazon Athena Federated Query, primero debe autorizar las conexiones a Athena y a los buckets asociados en Amazon Simple Storage Service (Amazon S3). Amazon Athena es un servicio de consultas interactivo que facilita el análisis de datos directamente en Amazon S3 con SQL estándar. Athena Federated Query proporciona acceso a más tipos de datos mediante el uso de. AWS Lambda Mediante una conexión de Quick a Athena, puede escribir consultas SQL para interrogar los datos almacenados en fuentes de datos relacionales, no relacionales, de objetos y personalizadas. Para obtener más información, consulte [Uso de consulta federada de Amazon Athena](https://docs.aws.amazon.com/athena/latest/ug/connect-to-a-data-source.html) en la Guía del usuario de Amazon Athena. Tenga en cuenta las siguientes consideraciones al configurar el acceso a Athena desde Quick: + Athena almacena los resultados de las consultas de Amazon Quick Sight en un depósito. De forma predeterminada, este bucket tiene un nombre similar a `aws-athena-query-results-AWSREGION-AWSACCOUNTID`, por ejemplo, `aws-athena-query-results-us-east-2-111111111111`. Por lo tanto, es importante asegurarse de que Amazon Quick Sight tenga permisos para acceder al bucket que Athena utiliza actualmente. + Si el archivo de datos está cifrado con una AWS KMS clave, conceda permisos al rol IAM de Amazon Quick Sight para descifrar la clave. La manera más sencilla de hacerlo es usar la AWS CLI. Para ello, puede ejecutar la operación de API [de creación y concesión](https://docs.aws.amazon.com/cli/latest/reference/kms/create-grant.html) de KMS. AWS CLI ``` aws kms create-grant --key-id / --grantee-principal --operations Decrypt ``` El nombre de recurso de Amazon (ARN) del rol Amazon Quick tiene el formato `arn:aws:iam:::role/service-role/aws-quicksight-s3-consumers-role-v` y se puede acceder a él desde la consola de IAM. Para buscar el ARN de clave de KMS, utilice la consola de S3. Vaya al bucket que contiene el archivo de datos y elija la pestaña **Información general**. La clave se encuentra cerca del **ID de clave de KMS**. + Para las conexiones de Amazon Athena, Amazon S3 y Athena Query Federation, Amazon Quick utiliza la siguiente función de IAM de forma predeterminada: ``` arn:aws:iam::AWS-ACCOUNT-ID:role/service-role/aws-quicksight-s3-consumers-role-v0 ``` Si no `aws-quicksight-s3-consumers-role-v0` está presente, Amazon Quick utiliza: ``` arn:aws:iam::AWS-ACCOUNT-ID:role/service-role/aws-quicksight-service-role-v0 ``` + Si ha asignado políticas restringidas a sus usuarios, compruebe que las políticas contengan el permiso `lambda:InvokeFunction`. Sin este permiso, sus usuarios no pueden acceder a Athena Federated Queries. Para obtener más información sobre la asignación de políticas de IAM a sus usuarios en Amazon Quick, consulte [Configuración del acceso granular a los AWS servicios a través](https://docs.aws.amazon.com/quicksight/latest/user/scoping-policies-iam-interface.html) de IAM. *Para obtener más información sobre el InvokeFunction permiso lambda:, consulte [Acciones, recursos y claves de condición de la Guía del usuario de AWS Lambda](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_awslambda.html) IAM.* **Para autorizar a Amazon Quick a conectarse a Athena o a las fuentes de datos federadas de Athena** 1. (Opcional) Si lo usas AWS Lake Formation con Athena, también necesitas activar Lake Formation. Para obtener más información, consulte [Autorizar conexiones mediante](https://docs.aws.amazon.com/quicksight/latest/user/lake-formation.html). AWS Lake Formation 1. Abre el menú de tu perfil en la parte superior derecha y selecciona **Administrar QuickSight**. Para ello, debe ser administrador de Amazon Quick. Si no ves la opción **Administrar QuickSight** en el menú del perfil, significa que no tienes permisos suficientes. 1. En **Seguridad y permisos**, seleccione **Añadir o eliminar**. 1. Elige la casilla cerca de Amazon Athena, **Siguiente**. Si ya se ha habilitado, puede que tenga que hacer doble clic en ella. Haga esto incluso si Amazon Athena ya se ha habilitado para poder ver la configuración. No se guardará ningún cambio hasta que seleccione **Actualizar** al final de este procedimiento. 1. Habilite los buckets de S3 a los que desee acceder. 1. (Opcional) Para habilitar las consultas federadas de Athena, seleccione las funciones de Lambda que desee utilizar. **nota** Solo puede ver las funciones de Lambda para los catálogos de Athena en la misma región de Amazon Quick. 1. Para guardar los cambios, elija **Finalizar**. Para cancelar, elija **Cancelar**. 1. Para guardar los cambios en la seguridad y los permisos, seleccione **Actualizar**. **Comprobación de la configuración de autorización de conexión** 1. En la página de inicio rápido de Amazon, selecciona **Conjuntos de datos,** **Nuevo conjunto** de datos. 1. Elija la tarjeta de Athena. 1. Siga las instrucciones de la pantalla para crear un nuevo origen de datos de Athena con los recursos a los que necesita conectarse. Elija **Validar conexión** para probar la conexión. 1. Si la conexión se valida, ha configurado correctamente una conexión a Athena o Athena Federated Query. Si no tienes permisos suficientes para conectarte a un conjunto de datos de Athena o ejecutar una consulta de Athena, aparece un error que te indica que contactes con un administrador de Amazon Quick. Este error significa que debe volver a comprobar la configuración de autorización de conexión para encontrar la discrepancia. 1. Una vez que se haya conectado correctamente, usted o sus autores de Amazon Quick podrán crear conexiones de fuentes de datos y compartirlas con otros autores de Amazon Quick. A continuación, los autores pueden crear varios conjuntos de datos a partir de las conexiones para usarlos en los paneles de Amazon Quick. Para obtener información sobre la solución de problemas de Athena, consulte [Problemas de conectividad al utilizar Athena con](https://docs.aws.amazon.com/quicksight/latest/user/troubleshoot-athena.html) Amazon Quick. ## Uso de la propagación de identidad de confianza con Athena La propagación confiable de la identidad permite a los AWS servicios acceder a AWS los recursos en función del contexto de identidad del usuario y comparte de forma segura la identidad de este usuario con otros AWS servicios. Estas capacidades permiten definir, conceder y registrar más fácilmente el acceso de los usuarios. Cuando los administradores configuran Quick, Athena, Amazon S3 Access Grants y AWS Lake Formation con IAM Identity Center, ahora pueden habilitar la propagación confiable de la identidad entre estos servicios y permitir que la identidad del usuario se propague entre los servicios. Cuando un usuario del IAM Identity Center accede a los datos desde Quick, Athena o Lake Formation pueden tomar decisiones de autorización utilizando los permisos definidos para su membresía de usuario o grupo por el proveedor de identidad de la organización. La propagación de identidad de confianza con Athena solo funciona cuando los permisos se administran a través de Lake Formation. Los permisos de usuario para los datos residen en Lake Formation. ### Requisitos previos Antes de comenzar, asegúrese de que haya completado los siguientes requisitos previos necesarios. **importante** Al cumplir los siguientes requisitos previos, tenga en cuenta que su instancia de IAM Identity Center, Athena workgroup, Lake Formation y Amazon S3 Access Grants deben implementarse en la misma región. AWS + Configure su cuenta Quick con IAM Identity Center. La propagación de identidad fiable solo es compatible con las cuentas Quick integradas en el IAM Identity Center. Para obtener más información, consulte [Configure su cuenta Amazon Quick con IAM Identity Center](setting-up-sso.md#sec-identity-management-identity-center). **nota** Para crear fuentes de datos de Athena, debe ser un usuario (autor) del IAM Identity Center en una cuenta Quick que utilice el IAM Identity Center. + Un grupo de trabajo de Athena activado con IAM Identity Center. El grupo de trabajo de Athena que utilice debe utilizar la misma instancia de IAM Identity Center que la cuenta Quick. Para obtener más información sobre cómo configurar un grupo de trabajo de Athena, consulte [Creación de un grupo de trabajo de Athena habilitado para IAM Identity Center](https://docs.aws.amazon.com/athena/latest/ug/workgroups-identity-center.html#workgroups-identity-center-creating-an-identity-center-enabled-athena-workgroup) en la *Guía del usuario de Amazon Athena*. + El acceso al bucket de resultados de consulta de Athena se administra con Concesiones de acceso a Amazon S3. Para obtener más información, consulte [Administración del acceso con Concesiones de acceso a Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-grants.html) en la *Guía del usuario de Amazon S3*. Si los resultados de la consulta están cifrados con una AWS KMS clave, tanto el rol de IAM de Amazon S3 Access Grant como el rol de grupo de trabajo de Athena necesitan permisos. AWS KMS + Para obtener más información, consulte [Amazon S3 Access Grants and corporate directory identities](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-grants.html) en la Guía del usuario de Amazon S3. + El rol de Concesiones de acceso a Amazon S3 debe incluir la acción `STS:SetContext` en su política de confianza para la propagación de identidad. Para ver un ejemplo, consulte [Registrar una ubicación](https://docs.aws.amazon.com/AmazonS3/latest/userguide/access-grants-location-register.html) en la Guía del usuario de Amazon S3. + Los permisos de los datos deben gestionarse con Lake Formation y Lake Formation debe configurarse con la misma instancia de IAM Identity Center que Quick y el grupo de trabajo Athena. Para obtener más información sobre la configuración, consulte [Integración del IAM Identity Center](https://docs.aws.amazon.com/lake-formation/latest/dg/identity-center-integration.html) en la *Guía para desarrolladores de AWS Lake Formation *. + El administrador del lago de datos necesita conceder permisos a los usuarios y grupos de IAM Identity Center en Lake Formation. Para obtener más información, consulte [Granting permissions to users and groups](https://docs.aws.amazon.com/lake-formation/latest/dg/grant-permissions-sso.html) en la *Guía para desarrolladores de AWS Lake Formation *. + El administrador de Quick debe autorizar las conexiones a Athena. Para obtener más información, consulte [Autorización de las conexiones a Amazon Athena](#athena). Tenga en cuenta que, con la propagación de identidades confiable, no necesita conceder permisos o AWS KMS permisos al bucket de Amazon S3 al rol Quick. Debe mantener sincronizados a los usuarios y grupos que tienen permisos para el grupo de trabajo de Athena con el bucket de Amazon S3 que almacena los resultados de las consultas con los permisos de Concesiones de acceso a Amazon S3. De esta forma, los usuarios pueden ejecutar consultas correctamente y recuperar los resultados de las consultas en el bucket de Amazon S3 mediante una propagación de identidad de confianza. ### Configuración del rol de IAM con los permisos necesarios Para utilizar la propagación de identidades fiable con Athena, su cuenta Quick debe tener los permisos necesarios para acceder a sus recursos. Para proporcionar esos permisos, debe configurar su cuenta Quick para que utilice un rol de IAM con los permisos. Si su cuenta Quick ya utiliza una función de IAM personalizada, puede modificarla. Si no tiene ningún rol de IAM existente, cree uno según las instrucciones de [Crear un rol para un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html) en la *Guía del usuario de IAM*. El rol de IAM que cree o modifique debe contener la siguiente política de confianza y permisos. #### Política de confianza necesaria Para obtener información sobre cómo actualizar la política de confianza de un rol de IAM, consulte [Actualizar una política de confianza de rol](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_update-role-trust-policy.html). #### Permisos de Athena necesarios Para obtener información sobre cómo actualizar la política de confianza de un rol de IAM, consulte [Actualización de los permisos de un rol](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_update-role-permissions.html). **nota** El `Resource` utiliza el comodín `*`. Le recomendamos que lo actualice para incluir solo los recursos de Athena que desee utilizar con Quick. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "athena:BatchGetQueryExecution", "athena:CancelQueryExecution", "athena:GetCatalogs", "athena:GetExecutionEngine", "athena:GetExecutionEngines", "athena:GetNamespace", "athena:GetNamespaces", "athena:GetQueryExecution", "athena:GetQueryExecutions", "athena:GetQueryResults", "athena:GetQueryResultsStream", "athena:GetTable", "athena:GetTables", "athena:ListQueryExecutions", "athena:RunQuery", "athena:StartQueryExecution", "athena:StopQueryExecution", "athena:ListWorkGroups", "athena:ListEngineVersions", "athena:GetWorkGroup", "athena:GetDataCatalog", "athena:GetDatabase", "athena:GetTableMetadata", "athena:ListDataCatalogs", "athena:ListDatabases", "athena:ListTableMetadata" ], "Resource": "*" } ] } ``` ------ ### Configure su cuenta Quick para usar el rol de IAM Tras configurar la función de IAM en el paso anterior, debe configurar su cuenta Quick para utilizarla. Para obtener información acerca de cómo hacerlo, consulte [Uso de las funciones de IAM existentes en Quick](security-create-iam-role.md#security-create-iam-role-use). ### Actualice la configuración de propagación de identidad con el AWS CLI Para autorizar a Quick a propagar las identidades de los usuarios finales a los grupos de trabajo de Athena, ejecute la `update-identity-propagation-config` siguiente API desde el, sustituyendo AWS CLI los siguientes valores: + *us-west-2*Sustitúyala por la AWS región en la que se encuentra tu instancia de IAM Identity Center. + Reemplace *111122223333* por su ID de cuenta de AWS . ``` aws quicksight update-identity-propagation-config \ --service ATHENA \ --region us-west-2 \ --aws-account-id 111122223333 ``` ### Cree un conjunto de datos de Athena en Quick Ahora, cree un conjunto de datos de Athena en Quick configurado con el grupo de trabajo Athena habilitado para IAM Identity Center al que desee conectarse. Para obtener información acerca de cómo crear un conjunto de datos de Athena, consulte [Creación de un conjunto de datos utilizando datos de Amazon Athena](create-a-data-set-athena.md). ### Avisos, aspectos que tener en cuenta y límites clave La siguiente lista contiene algunas consideraciones importantes a la hora de utilizar la propagación de identidades fiable con Quick y Athena. + Las fuentes de datos de Quick Athena que utilizan una propagación de identidad confiable evalúan los permisos de Lake Formation comparándolos con el usuario final del IAM Identity Center y los grupos del IAM Identity Center a los que podría pertenecer el usuario. + Al utilizar orígenes de datos de Athena que utilizan una propagación de identidad confiable, recomendamos llevar a cabo cualquier control de acceso afinado en Lake Formation. Sin embargo, si opta por utilizar la función de política de reducción de Quick, las políticas de reducción se evaluarán en función del usuario final. + Las siguientes características están desactivadas para los orígenes de datos y los conjuntos de datos que utilizan una propagación de identidad de confianza: conjuntos de datos de SPICE, SQL personalizado en las orígenes de datos, alertas de umbral, informes por correo electrónico, temas de Q, historias, escenarios, exportaciones a CSV, Excel y PDF, detección de anomalías. + Si experimenta una latencia o tiempos de espera altos, puede deberse a una combinación de un gran número de grupos de IAM Identity Center, bases de datos de Athena, tablas y reglas de Lake Formation. Le recomendamos que intente utilizar solo la cantidad necesaria de esos recursos. # Integraciones de acceso a datos Las integraciones de acceso a datos en Amazon Quick establecen conexiones seguras con fuentes de datos externas. Sirven de base para crear bases de conocimiento. A diferencia de los conectores de acción que realizan acciones, las integraciones de acceso a datos se centran en acceder e indexar el contenido de aplicaciones y servicios de terceros. Las integraciones de acceso a datos solo configuran la autenticación y apuntan al proyecto o la organización del servicio. Los agentes de IA no pueden utilizarlos directamente para el análisis. Debe crear una base de conocimientos conectada para que los datos sean accesibles. ## Cómo funcionan las integraciones de acceso a datos Las integraciones de acceso a datos configuran la autenticación y establecen conexiones con organizaciones o proyectos de servicios de terceros. No puede utilizar estas integraciones directamente para el análisis. Debe crear bases de conocimiento conectadas a la integración de acceso a los datos para que los agentes de IA, las interfaces de chat y los espacios puedan acceder a los datos. La relación entre las integraciones de acceso a los datos y las bases de conocimiento es one-to-many: + Una integración de acceso a datos puede admitir múltiples bases de conocimiento. + Cada base de conocimiento selecciona contenido específico de la fuente de datos conectada. + Las bases de conocimiento heredan los permisos de autenticación y acceso de su integración principal de acceso a los datos. ## Cree una integración de acceso a los datos Utilice el siguiente procedimiento para crear una integración de acceso a los datos que establezca los detalles de autenticación y conexión para la creación de la base de conocimientos. El siguiente ejemplo muestra el proceso de configuración de una integración de acceso a OneDrive datos de Microsoft, pero los pasos generales se aplican a otras integraciones de acceso a datos. **Para crear una integración de acceso a datos** 1. Desplázate hasta el área Configurar una nueva integración de la página. Busque la aplicación en la que desee crear una base de integración y conocimiento. Seleccione "OneDrive». **nota** La página de integración tiene por defecto la pestaña Bases de conocimiento y es posible que haya bases de conocimiento existentes que otras personas hayan creado y compartido. Si ya ha configurado una integración, consulte la pestaña de datos y utilice el menú de acciones para crear una base de conocimientos a partir de ahí. 1. Seleccione el botón con el signo más (\$1) en la aplicación para crear una nueva base de conocimientos e integración. 1. Seleccione la OneDrive opción Traer datos de Microsoft y haga clic en el botón Siguiente. **nota** Algunas integraciones de aplicaciones admiten la ingesta y read/write las acciones de datos. La configuración varía para cada una de ellas. Para configurar las acciones, necesitarás más información de tu administrador. 1. Completa el proceso de autenticación: 1. Aparecerá automáticamente una ventana emergente de inicio de OneDrive sesión de Microsoft. Si no es así, haz clic en el OneDrive botón Iniciar sesión en Microsoft. 1. Inicia sesión con tus credenciales de Amazon. 1. Espera a que aparezca un aviso de éxito. 1. Haga clic en el botón «Siguiente». 1. Seleccione los datos que deben incorporarse a la base de conocimientos utilizando el selector de archivos OneDrive y haga clic en el botón Añadir. 1. Escriba un nombre y una descripción en la base de conocimientos (opcional) y, a continuación, haga clic en Crear. 1. Aparecerá una notificación de confirmación y se iniciará la ingesta y sincronización de los datos. 1. Los datos pueden tardar varios minutos en sincronizarse, en función del número de archivos que se estén ingiriendo. La columna Estado permanecerá en el estado de sincronización hasta que esté lista y cambiará a Disponible. 1. Cuando la base de conocimientos esté lista, usa el chat para hacer preguntas e interactuar con ella. **nota** De forma predeterminada, el chat usa «todos los datos y aplicaciones» a los que tienes acceso y que están configurados en tu nombre. Si quieres chatear con una única base de conocimientos, selecciona la base de conocimientos en el selector de datos del chat. **nota** También puedes adjuntar una base de conocimientos a un espacio navegando hasta el espacio y añadiéndolo. Tras crearla correctamente, la integración de acceso a los datos aparecerá en la lista de integraciones. Ahora puede crear bases de conocimiento que utilicen esta integración para acceder e indexar el contenido de la fuente de datos conectada. **nota** Para ver los pasos de configuración detallados específicos de cada fuente de datos, consulte[Integraciones compatibles](supported-integrations.md). ## Orígenes de datos admitidos Amazon Quick admite integraciones de acceso a datos con las siguientes aplicaciones y servicios. Estas integraciones le permiten crear bases de conocimiento a partir de fuentes de datos externas: + **Amazon S3**: acceda a los documentos y archivos almacenados en los buckets de S3 mediante AWS credenciales. + **Atlassian Confluence**: indexe páginas, espacios y archivos adjuntos mediante la autenticación de usuario o la autenticación de servicio. + **Google Drive**: Conéctate a unidades personales y compartidas mediante la autenticación OAuth 2.0. + **Microsoft OneDrive**: contenido de Access OneDrive for Business mediante autenticación de usuario o autenticación de servicio. + **Microsoft SharePoint**: indexe el contenido SharePoint en línea y del servidor mediante la autenticación OAuth 2.0. + **Web Crawler**: indexe el contenido de sitios web internos y externos mediante la autenticación o form/SAML autenticación básicas. Cada fuente de datos admite diferentes métodos de autenticación y capacidades de acceso al contenido. La relación entre las integraciones de acceso a los datos y las bases de conocimiento es la siguiente one-to-many: una integración puede admitir varias bases de conocimiento, cada una de las cuales selecciona contenido específico de la fuente de datos conectada. ## Categorías de fuentes de datos Las integraciones de acceso a datos se organizan en las siguientes categorías según el tipo de contenido y los patrones de acceso: **Almacenamiento en la nube y sistemas de archivos** + AWS S3: acceda a los documentos y archivos almacenados en los depósitos de S3. + Google Drive: indexa el contenido de las unidades personales y compartidas. + Microsoft OneDrive : Connect to OneDrive for Business contenido. **Sistemas de administración de contenido** + Atlassian Confluence: accede a páginas, espacios y archivos adjuntos. + Microsoft SharePoint : indexa el contenido SharePoint en línea y del servidor. **Contenido web** + Web Crawler: indexa el contenido de sitios web internos y externos. ### Autenticación y seguridad Las integraciones de acceso a datos utilizan métodos de autenticación seguros para proteger sus datos y mantener los controles de acceso. El método de autenticación depende de la fuente de datos específica y de los requisitos de seguridad de la organización. **OAuth autenticación** La mayoría de las integraciones basadas en la nube (Google Drive OneDrive y Confluence Cloud) utilizan la OAuth versión 2.0 para una autenticación segura basada en fichas. Este método permite a Amazon Quick acceder a sus datos sin almacenar sus credenciales. **Autenticación de la cuenta** Las integraciones empresariales pueden usar cuentas de servicio para el acceso programático. Este método es común para AWS S3 y otras fuentes de datos basadas en infraestructura. **Sin autenticación** Es posible que algunas integraciones, como los rastreadores web que acceden a sitios web públicos, no requieran autenticación. Sin embargo, los controles de acceso se siguen aplicando en función de tus permisos de Amazon Quick. **nota** Los requisitos de autenticación y los métodos disponibles varían según el nivel de usuario. Los lectores pueden tener opciones de autenticación limitadas en comparación con los autores. ### Control de acceso y permisos Las integraciones de acceso a los datos mantienen la seguridad al aplicar los controles de acceso en varios niveles. Cuando los usuarios consultan contenido a través de bases de conocimiento, Amazon Quick garantiza que solo puedan acceder al contenido para el que tengan permiso de visualización. + **Permisos a nivel de fuente**: los usuarios deben tener los permisos adecuados en el sistema de origen (Google Drive SharePoint, etc.). + **Permisos a nivel de integración**: el acceso a la propia integración está controlado por los permisos de Amazon Quick. + **Permisos de la base de conocimientos**: las bases de conocimiento individuales pueden tener sus propios controles de acceso. + **Controles de acceso a nivel de entidad**: cuando los usuarios consultan contenido, Amazon Quick verifica los permisos de cada documento o elemento. ### Características y capacidades clave Las integraciones de acceso a datos ofrecen varias funciones para mejorar su experiencia de integración de datos: + **Sincronización en tiempo real**: el contenido se actualiza automáticamente cuando se producen cambios en el sistema de origen. + **Indexación selectiva**: elija carpetas, sitios o tipos de contenido específicos para incluirlos en sus bases de conocimientos. + **Compatibilidad con tipos de contenido**: indexe varios formatos de archivo, incluidos documentos, hojas de cálculo, presentaciones y páginas web. + **Preservación de metadatos**: mantenga los metadatos importantes, como las fechas de creación, los autores y las etiquetas. + **Consultas en lenguaje natural**: habilite la búsqueda y la respuesta a preguntas mediante inteligencia artificial en todo su contenido indexado. ### Antes de empezar Antes de crear integraciones de acceso a datos, asegúrate de cumplir los siguientes requisitos: + **Permisos de Amazon Quick**: rol de autor o administrador para crear y administrar integraciones. + **Acceso al sistema de origen**: permisos adecuados en el sistema de destino (es posible que se requiera acceso administrativo para algunas integraciones). + Credenciales de **autenticación: credenciales** o cuentas de servicio válidas para el sistema de destino. + **Conectividad de red**: asegúrese de que Amazon Quick pueda acceder a sus fuentes de datos. Los requisitos de red varían según el tipo de integración: + **Bases de conocimiento**: no admiten la conectividad de VPC. Las fuentes de datos deben ser accesibles a través de la Internet pública. + **Conectores de acción**: admiten la conectividad de VPC para los servidores de recursos de su VPC. Sin embargo, los servidores de autenticación deben permanecer accesibles al público.