Uso de una identidad federada para administrar el acceso de Amazon Redshift a los recursos locales y a las tablas externas de Amazon Redshift Spectrum

Cree una identidad de IAM. Puede ser un usuario o un rol de IAM. Utilice cualquier nombre que admita IAM.

Adjunte políticas de permisos a la identidad. Especifique cualquiera de las siguientes:

Puede agregar permisos con el editor de políticas, mediante la consola de IAM.

La identidad de IAM también necesita permisos para acceder a los datos externos. Conceda acceso a Amazon S3 agregando directamente las siguientes políticas administradas de AWS:

La política administrada más reciente es obligatoria si usa AWS Glue para preparar los datos externos. Para obtener más información sobre los pasos para conceder acceso a Amazon Redshift Spectrum, consulte Crear un rol de IAM para Amazon Redshift, que forma parte de la guía de introducción de Amazon Redshift y Redshift Spectrum. Muestra los pasos para agregar políticas de IAM para acceder a Redshift Spectrum.

Configure el cliente SQL para conectarse a Amazon Redshift. Utilice el controlador JDBC de Amazon Redshift y agregue las credenciales del usuario a las propiedades de credenciales de la herramienta. Un cliente como SQL Workbench/J funciona bien para esto. Defina las siguientes propiedades ampliadas de conexión de cliente:

Configure la URL en el punto de conexión de JDBC que se encuentra en la consola de Amazon Redshift o Amazon Redshift Serverless. Sustituya el esquema de URL por jdbc:redshift:iam: y use este formato:

Tras conectarse a la base de datos por primera vez mediante una identidad de IAM, Amazon Redshift crea automáticamente una identidad de Amazon Redshift con el mismo nombre, con el prefijo IAM: para un usuario o IAMR: para un rol de IAM. Los pasos restantes de este tema muestran ejemplos para un usuario.

Si un usuario de Redshift no se crea automáticamente, puede crear uno ejecutando una instrucción CREATE USER, mediante una cuenta de administrador y especificando el nombre de usuario en el formato IAM:<user name>.

Como administrador del clúster de Amazon Redshift, conceda al usuario de Redshift los permisos necesarios para acceder al esquema externo.

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

Para conceder la capacidad al usuario de Redshift de crear tablas en el esquema externo, debe ser el propietario del esquema. Por ejemplo:

ALTER SCHEMA my_schema owner to "IAM:my_user";

Para comprobar la configuración, ejecute una consulta como usuario, mediante el cliente SQL, una vez concedidos los permisos. Este ejemplo de consulta recupera datos de una tabla externa.

SELECT * FROM my_schema.my_table;

Cree tablas locales y tablas externas. Las tablas externas catalogadas con AWS Glue funcionan para esto.

Conéctese a Amazon Redshift con la identidad de IAM. Como se mencionó en la sección anterior, cuando la identidad se conecta a Amazon Redshift, se crea un usuario de base de datos de Redshift. El usuario se crea si no existía anteriormente. Si el usuario es nuevo, el administrador debe concederle permisos para realizar tareas en Amazon Redshift, como consultar y crear tablas.

Conéctese a Redshift con la cuenta de administrador. Ejecute el comando para crear un esquema externo con el valor SESSION.

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

Tenga en cuenta que catalog_id está configurado en este caso. Se trata de una nueva configuración que se agrega con la característica, ya que SESSION sustituye a un rol específico.

En este ejemplo, los valores de la consulta imitan la forma en que aparecen los valores reales.

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

El valor catalog_id en este caso es el ID de la cuenta de AWS.

Ejecute consultas para acceder a los datos externos mediante la identidad de IAM con la que se conectó en el paso 2. Por ejemplo:

select * from spectrum_schema.table1;

En este caso, table1 puede ser, por ejemplo, datos con formato JSON en un archivo, en un bucket de Amazon S3.

Si ya tiene un esquema externo que usa un rol de IAM adjunto a un clúster y apunta a la base de datos o esquema externo, puede sustituir el esquema existente y usar una identidad federada como se detalla en estos pasos o crear uno nuevo.