Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Requisitos previos para crear un suscriptor con acceso a datos en Security Lake
Debe cumplir los siguientes requisitos previos antes de poder crear un suscriptor con acceso a datos en Security Lake.
Verificar permisos
Para verificar sus permisos, utilice IAM para revisar las políticas de IAM asociadas a su identidad de IAM. A continuación, compare la información de esas políticas con la siguiente lista de acciones (permisos) que debe realizar para notificar a los suscriptores cuando se escriban nuevos datos en el lago de datos.
Necesitará permiso para realizar las siguientes acciones:
-
iam:CreateRole -
iam:DeleteRolePolicy -
iam:GetRole -
iam:PutRolePolicy -
lakeformation:GrantPermissions -
lakeformation:ListPermissions -
lakeformation:RegisterResource -
lakeformation:RevokePermissions -
ram:GetResourceShareAssociations -
ram:GetResourceShares -
ram:UpdateResourceShare
Además de la lista anterior, también necesitará permiso para realizar las siguientes acciones:
-
events:CreateApiDestination -
events:CreateConnection -
events:DescribeRule -
events:ListApiDestinations -
events:ListConnections -
events:PutRule -
events:PutTargets -
s3:GetBucketNotification -
s3:PutBucketNotification -
sqs:CreateQueue -
sqs:DeleteQueue -
sqs:GetQueueAttributes -
sqs:GetQueueUrl -
sqs:SetQueueAttributes
Obtenga el identificador externo del suscriptor
Para crear un suscriptor, además del Cuenta de AWS identificador del suscriptor, también necesitarás obtener su identificador externo. El ID externo es un identificador único que te proporciona el suscriptor. Security Lake agrega el ID externo al rol de IAM del suscriptor que crea. Utiliza el ID externo cuando crea un suscriptor en la consola de Security Lake, a través de la API, o AWS CLI.
Para obtener más información sobre los ID externos, consulte Cómo usar un ID externo para conceder acceso a sus AWS recursos a un tercero en la Guía del usuario de IAM.
importante
Si planea usar la consola de Security Lake para agregar un suscriptor, puede omitir el siguiente paso y continuar a Crear un suscriptor con acceso a datos en Security Lake. La consola de Security Lake ofrece un proceso simplificado para empezar y crea todas los roles de IAM necesarios o utiliza las funciones existentes en su nombre.
Si tiene pensado utilizar la API de Security Lake o AWS CLI añadir un suscriptor, continúe con el siguiente paso para crear un rol de IAM que le permita invocar EventBridge los destinos de la API.
Cree un rol de IAM para invocar los destinos de API ( EventBridge API) y AWS CLI-solo paso)
Si utilizas Security Lake a través de una API o AWS CLI creas un rol en AWS Identity and Access Management (IAM) que conceda a Amazon EventBridge permisos para invocar los destinos de la API y enviar notificaciones de objetos a los puntos de enlace HTTPS correctos.
Tras crear este rol de IAM, necesitarás el nombre de recurso de Amazon (ARN) del rol para crear el suscriptor. Este rol de IAM no es necesario si el suscriptor consulta los datos de una cola de Amazon Simple Queue Service (Amazon SQS) o consulta directamente los datos desde allí. AWS Lake Formation Para obtener más información sobre este tipo de método de acceso a los datos (tipo de acceso), consulte. Administración del acceso a las consultas para los suscriptores de Security Lake
Adjunte la siguiente política a su rol de IAM:
Adjunte la siguiente política de confianza a su función de IAM EventBridge para poder asumirla:
Security Lake crea automáticamente un rol de IAM que permite al suscriptor leer los datos del lago de datos (o sondear los eventos de una cola de Amazon SQS si ese es el método de notificación preferido). Este rol se protege mediante una política AWS gestionada denominada. AmazonSecurityLakePermissionsBoundary
