Configurez AWS Lake Formation

1. Connectez-vous à la AWS CloudFormation console à l'adresse https://console.aws.amazon.com/cloudformation en tant qu'administrateur IAM dans la région USA Est (Virginie du Nord).

2. Choisissez Launch Stack.

3. Choisissez Next sur l'écran de création d'une pile.

4. Entrez un nom de pile.

5. Pour DatalakeAdminNameet DatalakeAdminPassword, entrez votre nom d'utilisateur et votre mot de passe pour l'utilisateur administrateur de Data Lake.

6. Pour DatalakeUser1Name et DatalakeUser1Password, entrez votre nom d'utilisateur et votre mot de passe pour l'utilisateur Data Lake Analyst.

7. Pour DataLakeBucketName, entrez le nouveau nom du bucket qui sera créé.

8. Choisissez Suivant.

9. Sur la page suivante, choisissez Next.

10. Consultez les informations sur la dernière page et sélectionnez Je reconnais que cela AWS CloudFormation pourrait créer des ressources IAM.

11. Sélectionnez Create (Créer).

    La création de la pile peut prendre jusqu'à deux minutes.

Nettoyage des ressources

Si vous souhaitez nettoyer les ressources de la AWS CloudFormation pile :

1. Désenregistrez le compartiment Amazon S3 créé par votre stack et enregistré en tant qu'emplacement de lac de données.

2. Supprimez la AWS CloudFormation pile. Cela supprimera toutes les ressources créées par la pile.

Pour créer un administrateur de lac de données (console)

1. Si l'utilisateur qui doit être administrateur du lac de données n'existe pas encore, utilisez la console IAM pour le créer. Sinon, choisissez un utilisateur existant qui sera l'administrateur du lac de données.

   Note

   Nous vous recommandons de ne pas sélectionner d'utilisateur administratif IAM (utilisateur doté de la politique AdministratorAccess AWS gérée) comme administrateur du lac de données.

   Associez les politiques AWS gérées suivantes à l'utilisateur :

   Politiques	Obligatoire ?	Remarques
   AWSLakeFormationDataAdmin	Obligatoire	Autorisations d'administrateur de base du lac de données. Cette politique AWS gérée contient un refus explicite du fonctionnement de l'API Lake Formation, PutDataLakeSetting qui empêche les utilisateurs de créer de nouveaux administrateurs de lacs de données.
   AWSGlueConsoleFullAccess, CloudWatchLogsReadOnlyAccess	Facultatif	Joignez ces politiques si l'administrateur du lac de données doit résoudre les problèmes liés aux flux de travail créés à partir des plans de Lake Formation. Ces politiques permettent à l'administrateur du lac de données de consulter les informations de dépannage dans AWS Glue la console et la Amazon CloudWatch Logs console. Pour plus d'informations sur les flux de travail, consultezImportation de données à l'aide de flux de travail dans Lake Formation.
   AWSLakeFormationCrossAccountManager	Facultatif	Joignez cette politique pour permettre à l'administrateur du lac de données d'accorder et de révoquer des autorisations entre comptes sur les ressources du catalogue de données. Pour de plus amples informations, veuillez consulter Partage de données entre comptes dans Lake Formation.
   AmazonAthenaFullAccess	Facultatif	Joignez cette politique si l'administrateur du lac de données doit exécuter des requêtes dans Amazon Athena.

2. Joignez la politique intégrée suivante, qui accorde à l'administrateur du lac de données l'autorisation de créer le rôle lié au service Lake Formation. Le nom suggéré pour la politique estLakeFormationSLR.

   Le rôle lié à un service permet à l'administrateur du lac de données d'enregistrer plus facilement les sites Amazon S3 auprès de Lake Formation. Pour plus d'informations sur le rôle lié au service Lake Formation, consultez. Utilisation de rôles liés à un service pour Lake Formation

   Important

   Dans toutes les politiques suivantes, remplacez-le <account-id> par un numéro de AWS compte valide.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "iam:CreateServiceLinkedRole",
               "Resource": "*",
               "Condition": {
                   "StringEquals": {
                       "iam:AWSServiceName": "lakeformation.amazonaws.com"
                   }
               }
           },
           {
               "Effect": "Allow",
               "Action": [
                   "iam:PutRolePolicy"
               ],
               "Resource": "arn:aws:iam::<account-id>:role/aws-service-role/lakeformation.amazonaws.com/AWSServiceRoleForLakeFormationDataAccess"
           }
       ]
   }
   

3. (Facultatif) Attachez la politique PassRole intégrée suivante à l'utilisateur. Cette politique permet à l'administrateur du lac de données de créer et d'exécuter des flux de travail. L'iam:PassRoleautorisation permet au flux de travail d'assumer le rôle LakeFormationWorkflowRole de créer des robots d'exploration et des tâches, et d'associer le rôle aux robots et aux tâches créés. Le nom suggéré pour la politique estUserPassRole.

   Important

   Remplacez <account-id> par un numéro de AWS compte valide.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "PassRolePermissions",
               "Effect": "Allow",
               "Action": [
                   "iam:PassRole"
               ],
               "Resource": [
                   "arn:aws:iam::<account-id>:role/LakeFormationWorkflowRole"
               ]
           }
       ]
   }

4. (Facultatif) Joignez cette politique en ligne supplémentaire si votre compte accordera ou recevra des autorisations entre comptes Lake Formation. Cette politique permet à l'administrateur du lac de données de consulter et d'accepter AWS Resource Access Manager (AWS RAM) les invitations de partage de ressources. En outre, pour les administrateurs de lacs de données du compte de AWS Organizations gestion, la politique inclut une autorisation permettant d'autoriser les subventions entre comptes aux organisations. Pour de plus amples informations, veuillez consulter Partage de données entre comptes dans Lake Formation.

   Le nom suggéré pour la politique estRAMAccess.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ram:AcceptResourceShareInvitation",
                   "ram:RejectResourceShareInvitation",
                   "ec2:DescribeAvailabilityZones",
                   "ram:EnableSharingWithAwsOrganization"
               ],
               "Resource": "*"
           }
       ]
   }

5. Ouvrez la AWS Lake Formation console https://console.aws.amazon.com/lakeformation/et connectez-vous en tant qu'utilisateur administrateur que vous avez créé Création d’un utilisateur doté d’un accès administratif ou en tant qu'utilisateur doté d'une politique AWS gérée par AdministratorAccess l'utilisateur.

6. Si une fenêtre Welcome to Lake Formation apparaît, choisissez l'utilisateur IAM que vous avez créé ou sélectionné à l'étape 1, puis choisissez Get started.

7. Si la fenêtre Welcome to Lake Formation ne s'affiche pas, effectuez les étapes suivantes pour configurer un administrateur de Lake Formation.

   1. Dans le volet de navigation, sous Administrateurs, sélectionnez Rôles et tâches administratifs. Dans la section Administrateurs du lac de données de la page de console, choisissez Ajouter.

   2. Dans la boîte de dialogue Ajouter des administrateurs, sous Type d'accès, choisissez Data lake administrator.

   3. Pour les utilisateurs et les rôles IAM, choisissez l'utilisateur IAM que vous avez créé ou sélectionné à l'étape 1, puis sélectionnez Enregistrer.

Pour modifier les paramètres par défaut du catalogue de données

1. Continuez dans la console Lake Formation à l'adresse https://console.aws.amazon.com/lakeformation/. Assurez-vous d'être connecté en tant qu'utilisateur administrateur que vous avez créé Création d’un utilisateur doté d’un accès administratif ou en tant qu'utilisateur doté de la politique AdministratorAccess AWS gérée.

2. Modifiez les paramètres du catalogue de données :

   1. Dans le volet de navigation, sous Administration, sélectionnez Paramètres du catalogue de données.

   2. Décochez les deux cases et choisissez Enregistrer.

      

3. Révoquez IAMAllowedPrincipals l'autorisation accordée aux créateurs de bases de données.

   1. Dans le volet de navigation, sous Administration, sélectionnez Administrative roles and tasks.

   2. Sur la page de console des rôles et tâches administratifs, dans la section Créateurs de base de données, sélectionnez le IAMAllowedPrincipals groupe, puis choisissez Révoquer.

      La boîte de dialogue Révoquer les autorisations apparaît, indiquant que IAMAllowedPrincipals vous disposez de l'autorisation Créer une base de données.

   3. Choisissez Révoquer.

Pour autoriser un utilisateur non administrateur à accéder aux données de Lake Formation

1. Ouvrez la console IAM à https://console.aws.amazon.com/iam et connectez-vous en tant qu'utilisateur administrateur que vous avez créé Création d’un utilisateur doté d’un accès administratif ou en tant qu'utilisateur avec la politique AdministratorAccess AWS gérée.

2. Choisissez Utilisateurs ou Groupes d'utilisateurs.

3. Dans la liste, sélectionnez le nom de l'utilisateur ou du groupe auquel intégrer une politique.

   Choisissez Autorisations.

4. Choisissez Ajouter des autorisations, puis choisissez Joindre directement les politiques. Entrez Athena dans le champ de texte Politiques de filtrage. Dans la liste des résultats, cochez la case correspondant àAmazonAthenaFullAccess.

5. Cliquez sur le bouton Créer une politique. Sur la page Créer une politique, choisissez l'onglet JSON. Copiez et collez le code suivant dans l'éditeur de politiques.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "lakeformation:GetDataAccess",
                   "glue:GetTable",
                   "glue:GetTables",
                   "glue:SearchTables",
                   "glue:GetDatabase",
                   "glue:GetDatabases",
                   "glue:GetPartitions",
                   "lakeformation:GetResourceLFTags",
                   "lakeformation:ListLFTags",
                   "lakeformation:GetLFTag",
                   "lakeformation:SearchTablesByLFTags",
                   "lakeformation:SearchDatabasesByLFTags"
               ],
               "Resource": "*"
           }
       ]
   }

6. Cliquez sur le bouton Suivant en bas jusqu'à ce que la page de révision de la politique s'affiche. Entrez un nom pour la politique, par exemple,DatalakeUserBasic. Choisissez Créer une politique, puis fermez l'onglet Politiques ou la fenêtre du navigateur.

Pour autoriser les moteurs tiers à accéder aux données et à les filtrer (console)

1. Continuez dans la console Lake Formation à l'adresse https://console.aws.amazon.com/lakeformation/. Assurez-vous que vous êtes connecté en tant que principal disposant de l'autorisation IAM pour le fonctionnement de l'PutDataLakeSettingsAPI Lake Formation. L'utilisateur administrateur IAM que vous avez créé Inscrivez-vous pour un Compte AWS possède cette autorisation.

2. Dans le volet de navigation, sous Administration, sélectionnez Paramètres d'intégration des applications.

3. Sur la page des paramètres d'intégration des applications, procédez comme suit :

   1. Cochez la case Autoriser les moteurs externes à filtrer les données dans les sites Amazon S3 enregistrés auprès de Lake Formation.

   2. Entrez les valeurs des balises de session définies pour les moteurs tiers.

   3. Pour le AWS compte IDs, saisissez le compte IDs à partir duquel les moteurs tiers sont autorisés à accéder aux sites enregistrés auprès de Lake Formation. Appuyez sur Entrée après chaque identifiant de compte.

   4. Choisissez Save (Enregistrer).

Pour créer un rôle IAM pour les flux de travail

1. Ouvrez la console IAM à https://console.aws.amazon.com/iam et connectez-vous en tant qu'utilisateur administrateur que vous avez créé Création d’un utilisateur doté d’un accès administratif ou en tant qu'utilisateur avec la politique AdministratorAccess AWS gérée.

2. Dans le volet de navigation, choisissez Rôles, puis Créer un rôle.

3. Sur la page Create role, choisissez AWS service, puis Glue. Choisissez Suivant.

4. Sur la page Ajouter des autorisations, recherchez la politique AWSGlueServiceRolegérée et cochez la case à côté du nom de la politique dans la liste. Complétez ensuite l'assistant de création de rôle en nommant le rôleLFWorkflowRole. Pour terminer, choisissez Create role.

5. De retour sur la page RôlesLFWorkflowRole, recherchez et choisissez le nom du rôle.

6. Sur la page Résumé des rôles, sous l'onglet Autorisations, choisissez Créer une politique intégrée. Sur l'écran Créer une politique, accédez à l'onglet JSON et ajoutez la politique en ligne suivante. Le nom suggéré pour la politique estLakeFormationWorkflow.

   Important

   Dans la politique suivante, remplacez <account-id> par un Compte AWS numéro valide.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                    "lakeformation:GetDataAccess",
                    "lakeformation:GrantPermissions"
                ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": ["iam:PassRole"],
               "Resource": [
                   "arn:aws:iam::<account-id>:role/LakeFormationWorkflowRole"
               ]
           }
       ]
   }

   Voici une brève description des autorisations définies dans cette politique :

   • lakeformation:GetDataAccesspermet aux tâches créées par le flux de travail d'écrire sur l'emplacement cible.

   • lakeformation:GrantPermissionspermet au flux de travail d'accorder l'SELECTautorisation sur les tables cibles.

   • iam:PassRolepermet au service d'assumer le rôle de LakeFormationWorkflowRole créer des robots d'exploration et des tâches (instances de flux de travail), et d'associer le rôle aux robots et aux tâches créés.

7. Vérifiez que deux politiques sont associées au rôleLakeFormationWorkflowRole.

8. Si vous ingérez des données situées en dehors de l'emplacement du lac de données, ajoutez une politique intégrée autorisant la lecture des données sources.