Utilisation d'une identité fédérée pour gérer l'accès d'Amazon Redshift aux ressources locales et aux tables externes Amazon Redshift Spectrum

Créez une identité IAM. Il peut s'agir d'un utilisateur ou d'un rôle IAM. Utilisez n'importe quel nom pris en charge par IAM.

Attachez des stratégies d'autorisation à une identité. Spécifiez chacune des valeurs suivantes :

Vous pouvez ajouter des autorisations avec l'éditeur de stratégies à l'aide de la console IAM.

L'identité IAM nécessite également des autorisations pour accéder aux données externes. Accordez l'accès à Amazon S3 en ajoutant directement les politiques AWS gérées suivantes :

La dernière stratégie gérée est requise si vous utilisez AWS Glue pour préparer vos données externes. Pour plus d'informations sur les étapes à suivre pour accorder l'accès à Amazon Redshift Spectrum, consultez Créer un rôle IAM pour Amazon Redshift, qui fait partie du guide de démarrage pour Amazon Redshift et Redshift Spectrum. Il montre les étapes à suivre pour ajouter des politiques IAM afin d'accéder à Redshift Spectrum.

Configurez votre client SQL pour une connexion à Amazon Redshift. Utilisez le pilote JDBC Amazon Redshift et ajoutez les informations d'identification de votre utilisateur aux propriétés des informations d'identification de l'outil. Vous pouvez notamment utiliser le client SQL Workbench/J. Définissez les propriétés étendues de connexion client suivantes :

Définissez l'URL du point de terminaison JDBC trouvé dans la console Amazon Redshift ou Amazon Redshift Serverless. Remplacez votre schéma d'URL par jdbc:redshift:iam: et utilisez cette mise en forme :

Une fois que vous vous êtes connecté à la base de données pour la première fois à l'aide d'une identité IAM, Amazon Redshift crée automatiquement une identité Amazon Redshift portant le même nom, préfixée par IAM: pour un utilisateur ou par IAMR: pour un rôle IAM. Les étapes restantes de cette rubrique présentent des exemples pour un utilisateur.

Si un utilisateur Redshift n'est pas créé automatiquement, vous pouvez en créer un en exécutant une instruction CREATE USER, en utilisant un compte administrateur, en spécifiant le nom d'utilisateur au format IAM:<user name>.

En tant qu'administrateur de votre cluster Amazon Redshift, accordez à l'utilisateur Redshift les autorisations requises pour accéder au schéma externe.

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

Pour permettre à votre utilisateur Redshift de créer des tables dans le schéma externe, il doit être propriétaire du schéma. Par exemple :

ALTER SCHEMA my_schema owner to "IAM:my_user";

Pour vérifier la configuration, exécutez une requête en tant qu'utilisateur, à l'aide du client SQL, une fois les autorisations accordées. Cet exemple de requête extrait des données d'une table externe.

SELECT * FROM my_schema.my_table;

Créez des tables locales et des tables externes. Tables externes cataloguées avec une tâche AWS Glue à cet effet.

Connectez-vous à Amazon Redshift à l'aide de votre identité IAM. Comme indiqué dans la section précédente, lorsque l'identité se connecte à Amazon Redshift, un utilisateur de base de données Redshift est créé. L'utilisateur est créé s'il n'existait pas auparavant. Si l'utilisateur est nouveau, l'administrateur doit lui accorder les autorisations nécessaires pour effectuer des tâches dans Amazon Redshift, telles que l'interrogation et la création de tables.

Connectez-vous à Redshift à l'aide de votre compte administrateur. Exécutez la commande pour créer un schéma externe à l'aide de la valeur SESSION.

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

Notez que catalog_id est défini dans ce cas. Il s'agit d'un nouveau paramètre ajouté à la fonctionnalité, car SESSION remplace un rôle spécifique.

Dans cet exemple, les valeurs de la requête imitent l'apparence des valeurs réelles.

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

Dans ce cas, catalog_id la valeur est votre numéro de AWS compte.

Exécutez des requêtes pour accéder à vos données externes, en utilisant l'identité IAM à laquelle vous vous êtes connecté à l'étape 2. Par exemple :

select * from spectrum_schema.table1;

Dans ce cas, table1 peut être, par exemple, de données au format JSON dans un fichier, dans un compartiment Amazon S3.

Si vous disposez déjà d'un schéma externe qui utilise un rôle IAM attaché à un cluster, pointant vers votre base de données ou votre schéma externe, vous pouvez soit remplacer le schéma existant et utiliser une identité fédérée comme indiqué dans ces étapes, soit en créer un nouveau.