Contrôle d'accès aux données sous-jacent

Lorsqu'un AWS service intégré demande l'accès aux données d'un site Amazon S3 dont l'accès est contrôlé par AWS Lake Formation, Lake Formation fournit des informations d'identification temporaires pour accéder aux données.

Pour permettre à Lake Formation de contrôler l'accès aux données sous-jacentes sur un site Amazon S3, vous devez enregistrer cet emplacement auprès de Lake Formation.

Après avoir enregistré un site Amazon S3, vous pouvez commencer à accorder les autorisations Lake Formation suivantes :

Les autorisations de localisation des données de Lake Formation contrôlent la possibilité de créer des ressources de catalogue de données pointant vers des emplacements Amazon S3 particuliers. Les autorisations de localisation des données fournissent un niveau de sécurité supplémentaire aux emplacements du lac de données. Lorsque vous accordez l'ALTERautorisation CREATE_TABLE ou à un principal, vous accordez également des autorisations de localisation des données afin de limiter les emplacements pour lesquels le principal peut créer ou modifier des tables de métadonnées.

Les emplacements Amazon S3 sont des compartiments ou des préfixes situés sous un compartiment, mais pas des objets Amazon S3 individuels.

Vous pouvez accorder des autorisations de localisation des données à un directeur à l'aide de la console Lake Formation, de l'API ou du AWS CLI. La forme générale d'une subvention est la suivante :

grant DATA_LOCATION_ACCESS to principal on S3 location [with grant option]

Si vous incluezwith grant option, le bénéficiaire peut accorder les autorisations à d'autres directeurs.

N'oubliez pas que les autorisations de Lake Formation fonctionnent toujours en combinaison avec les autorisations AWS Identity and Access Management (IAM) pour un contrôle d'accès précis. Pour les autorisations de lecture/écriture sur les données Amazon S3 sous-jacentes, les autorisations IAM sont accordées comme suit :

Lorsque vous enregistrez un emplacement, vous spécifiez un rôle IAM qui accorde des autorisations de lecture/écriture sur cet emplacement. Lake Formation assume ce rôle lorsqu'il fournit des informations d'identification temporaires aux AWS services intégrés. Un rôle typique peut être associé à la politique suivante, dans laquelle l'emplacement enregistré est le compartimentawsexamplebucket.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Lake Formation fournit un rôle lié à un service que vous pouvez utiliser lors de votre inscription pour créer automatiquement de telles politiques. Pour plus d’informations, consultez Utilisation de rôles liés à un service pour Lake Formation.

Par conséquent, l'enregistrement d'un emplacement Amazon S3 accorde les s3: autorisations IAM requises pour cet emplacement, les autorisations étant spécifiées par le rôle utilisé pour enregistrer l'emplacement.

Pour accéder en lecture/écriture aux données sous-jacentes, outre les autorisations de Lake Formation, les principaux ont également besoin de l'autorisation IAM suivante :

lakeformation:GetDataAccess

Avec cette autorisation, Lake Formation accède à la demande d'informations d'identification temporaires pour accéder aux données.

Cette autorisation est incluse dans les politiques suggérées dans leRéférence des personnalités de Lake Formation et des autorisations IAM.

En résumé, pour permettre aux responsables de Lake Formation de lire et d'écrire des données sous-jacentes avec un accès contrôlé par les autorisations de Lake Formation :

En savoir plus sur les autorisations de localisation des données

Les autorisations de localisation des données régissent le résultat des opérations de création et de mise à jour sur les bases de données et les tables du catalogue de données. Les règles sont les suivantes :

Examinez le scénario illustré dans le schéma suivant.

Dans ce schéma :

Voici les résultats obtenus lorsque l'utilisateur datalake_user essaie de créer une table de catalogue dans une base de données donnée à un emplacement donné.

Pour plus d’informations, consultez les ressources suivantes :