Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer l'accès entre comptes à AWS Glue catalogues de données

Vous pouvez utiliser le compte croisé d'Athéna AWS Glue fonctionnalité de catalogue pour enregistrer un AWS Glue catalogue à partir d'un compte autre que le vôtre. Après avoir configuré les IAM autorisations requises pour AWS Glue et enregistrez le catalogue en tant que DataCatalogressource Athena, vous pouvez utiliser Athena pour exécuter des requêtes entre comptes. Pour plus d'informations sur l'utilisation de la console Athena pour enregistrer un catalogue à partir d'un autre compte, consultez Enregistrer un catalogue de données à partir d'un autre compte.

Pour plus d'informations sur l'accès entre comptes dans AWS Glue, voir Octroi d'un accès entre comptes dans le AWS Glue Guide du développeur.

Avant de commencer

Étant donné que cette fonctionnalité utilise les DataCatalog ressources APIs et fonctionnalités existantes d'Athena pour permettre l'accès entre comptes, nous vous recommandons de lire les ressources suivantes avant de commencer :

Considérations et restrictions

Actuellement, Athena possède un compte croisé AWS Glue l'accès au catalogue est soumis aux restrictions suivantes :

Mise en route

Dans le scénario suivant, le compte « emprunteur » (6666666666) souhaite exécuter une requête qui fait référence au SELECT AWS Glue catalogue appartenant au compte « propriétaire » (999999999999), comme dans l'exemple suivant :

SELECT * FROM ownerCatalog.tpch1000.customer

Dans la procédure suivante, les étapes 1a et 1b montrent comment donner au compte emprunteur l'accès au compte propriétaire AWS Glue ressources, tant du côté de l'emprunteur que du côté du propriétaire. L'exemple accorde l'accès à la base de données tpch1000 et à la table customer. Modifiez ces exemples de noms pour répondre à vos besoins.

Étape 1a : Création d'un rôle d'emprunteur avec une politique d'accès au rôle du propriétaire AWS Glue resources

Pour créer un rôle de compte d'emprunteur avec une politique d'accès au compte propriétaire AWS Glue ressources, vous pouvez utiliser AWS Identity and Access Management (IAM) console ou le IAMAPI. Les procédures suivantes utilisent la IAM console.

Étape 1b : Création d'une politique de propriétaire à octroyer AWS Glue accès à l'emprunteur

Pour octroyer AWS Glue accès depuis le compte propriétaire (999999999999) au rôle de l'emprunteur, vous pouvez utiliser AWS Glue console ou AWS Glue PutResourcePolicyAPIopération. La procédure suivante utilise AWS Glue console.

Une fois que vous aurez terminé, nous vous recommandons d'utiliser AWS Glue APIpour effectuer des tests d'appels entre comptes afin de confirmer que les autorisations sont configurées comme prévu.

Étape 2 : L'emprunteur enregistre le AWS Glue Data Catalog qui appartient au compte du propriétaire

La procédure suivante explique comment utiliser la console Athena pour configurer AWS Glue Data Catalog dans le compte Amazon Web Services du propriétaire en tant que source de données. Pour plus d'informations sur l'utilisation des API opérations plutôt que de la console pour enregistrer le catalogue, consultez(Facultatif) Utilisez le API pour enregistrer un catalogue de données Athena appartenant au compte du propriétaire.

Étape 3 : l'emprunteur soumet une requête

L'emprunteur soumet une requête qui fait référence au catalogue à l'aide du catalog.database.table syntaxe, comme dans l'exemple suivant :

SELECT * FROM ownerCatalog.tpch1000.customer

Au lieu d'utiliser la syntaxe complète, l'emprunteur peut également spécifier le catalogue de manière contextuelle en le transmettant via le. QueryExecutionContext

(Facultatif) Configurer des autorisations Amazon S3 supplémentaires

Pour plus d'informations sur l'octroi d'autorisations de bucket, voir Comment définir les autorisations de ACL bucket ? dans le guide de l'utilisateur d'Amazon Simple Storage Service.

(Facultatif) Utiliser un catalogue de manière dynamique

Dans certains cas, vous souhaiterez peut-être effectuer rapidement des tests sur un compte croisé AWS Glue catalogue sans l'étape préalable de son enregistrement. Vous pouvez effectuer des requêtes entre comptes de manière dynamique sans créer d'objet de DataCatalog ressource si les autorisations requises IAM et Amazon S3 sont correctement configurées, comme décrit précédemment dans ce document.

Pour référencer explicitement un catalogue sans enregistrement, utilisez la syntaxe de l'exemple suivant :

SELECT * FROM "glue:arn:aws:glue:us-east-1:999999999999:catalog".tpch1000.customer

Utilisez le format glue:<arn> « », où <arn> est AWS Glue Data Catalog ARNque vous souhaitez utiliser. Dans l'exemple, Athena utilise cette syntaxe pour pointer dynamiquement vers le compte 9999999999999999 AWS Glue catalogue de données comme si vous aviez créé séparément un DataCatalog objet pour celui-ci.

Remarques sur l'utilisation des catalogues dynamiques

Lorsque vous utilisez des catalogues dynamiques, rappelez-vous les points suivants.

(Facultatif) Utilisez le API pour enregistrer un catalogue de données Athena appartenant au compte du propriétaire

Au lieu d'utiliser la console Athena comme décrit à l'étape 2, il est possible d'utiliser API des opérations pour enregistrer le catalogue de données qui appartient au compte du propriétaire.

Le créateur de la DataCatalogressource Athena doit disposer des autorisations nécessaires pour exécuter l'opération Athena. CreateDataCatalogAPI En fonction de vos besoins, l'accès à des API opérations supplémentaires peut être nécessaire. Pour de plus amples informations, veuillez consulter Exemple de politiques de catalogue de données.

Le corps de CreateDataCatalog demande suivant enregistre un AWS Glue catalogue pour un accès entre comptes :

# Example CreateDataCatalog request to register a cross-account Glue catalog:
{
    "Description": "Cross-account Glue catalog",
    "Name": "ownerCatalog",
    "Parameters": {"catalog-id" : "999999999999"  # Owner's account ID
    },
    "Type": "GLUE"
}

L'exemple de code suivant utilise un client Java pour créer l'objet DataCatalog.

# Sample code to create the DataCatalog through Java client
CreateDataCatalogRequest request = new CreateDataCatalogRequest()
    .withName("ownerCatalog")
    .withType(DataCatalogType.GLUE)
    .withParameters(ImmutableMap.of("catalog-id", "999999999999"));

athenaClient.createDataCatalog(request);

Après ces étapes, l'emprunteur devrait voir à quel ownerCatalog moment il lance l'ListDataCatalogsAPIopération.

Ressources supplémentaires