View a markdown version of this page

Manajemen akses untuk Tabel S3 - Amazon Simple Storage Service
Sumber dayaTindakan untuk Tabel S3Kunci syarat

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Manajemen akses untuk Tabel S3

Dalam sumber daya Tabel S3 menyertakan bucket tabel dan tabel yang dikandungnya. Pengguna root Akun AWS yang membuat sumber daya (pemilik sumber daya) dan AWS Identity and Access Management (IAM) pengguna dalam akun tersebut yang memiliki izin yang diperlukan dapat mengakses sumber daya yang mereka buat. Pemilik sumber daya menentukan siapa lagi yang dapat mengakses sumber daya dan tindakan yang diizinkan untuk dilakukan pada sumber daya. Amazon S3 memiliki berbagai alat manajemen akses yang dapat Anda gunakan untuk memberi orang lain akses ke sumber daya S3 Anda. Jika Anda telah mengintegrasikan tabel Anda dengan AWS Lake Formation, maka Anda juga dapat mengelola akses halus ke tabel dan ruang nama Anda. Topik berikut memberi Anda gambaran umum tentang sumber daya, tindakan IAM, dan kunci kondisi untuk Tabel S3. Mereka juga memberikan contoh untuk kebijakan berbasis sumber daya dan berbasis identitas untuk Tabel S3.

Topik

Sumber daya

Sumber daya Tabel S3 mencakup bucket tabel dan tabel yang dikandungnya.

  • Bucket tabel — Bucket tabel dirancang khusus untuk tabel dan menyediakan transaksi per detik (TPS) yang lebih tinggi dan throughput kueri yang lebih baik dibandingkan dengan tabel yang dikelola sendiri dalam bucket S3 tujuan umum. Bucket meja memberikan daya tahan, ketersediaan, skalabilitas, dan karakteristik kinerja yang sama dengan bucket tujuan umum Amazon S3.

  • Tabel - Tabel di bucket tabel Anda disimpan dalam Apache Iceberg format. Anda dapat menanyakan tabel ini menggunakan SQL standar di mesin kueri yang mendukungIceberg.

Nama Sumber Daya Amazon (ARN) untuk tabel dan bucket tabel berisi s3tables namespace, Wilayah AWS, Akun AWS ID, dan nama bucket. Untuk mengakses dan melakukan tindakan pada tabel dan bucket tabel Anda, Anda harus menggunakan format ARN berikut:

  • Format tabel ARN:

    arn:aws:s3tables:us-west-2:111122223333:bucket/amzn-s3-demo-bucket/table/demo-tableID

Tindakan untuk Tabel S3

Dalam kebijakan berbasis identitas atau kebijakan berbasis sumber daya, Anda menentukan tindakan Tabel S3 mana yang diizinkan atau ditolak untuk prinsipal IAM tertentu. Tindakan tabel sesuai dengan operasi API tingkat bucket dan tabel. Semua tindakan adalah bagian dari namespace IAM yang unik:. s3tables

Saat Anda menggunakan tindakan dalam kebijakan, Anda biasanya mengizinkan atau menolak akses ke operasi API dengan nama yang sama. Namun, dalam beberapa kasus, satu tindakan mengendalikan akses ke lebih dari satu operasi API. Misalnya, s3tables:GetTableData tindakan mencakup izin untuk operasiGetObject,ListParts, dan ListMultiparts API.

Berikut ini adalah tindakan yang didukung untuk bucket tabel. Anda dapat menentukan tindakan berikut dalam Action elemen kebijakan IAM atau kebijakan sumber daya.

Tindakan Deskripsi Tingkat akses Cross-account akses
s3tables:CreateTableBucket Memberikan izin untuk membuat bucket tabel Write Tidak
s3tables:GetTableBucket Memberikan izin untuk mengambil bucket tabel ARN, nama bucket tabel, dan tanggal pembuatan. Write Ya
s3tables:ListTableBuckets Memberikan izin untuk mencantumkan semua bucket tabel di akun ini. Read Tidak
s3tables:CreateNamespace Memberikan izin untuk membuat ruang nama di bucket tabel Write Ya
s3tables:GetNamespace Memberikan izin untuk mengambil detail namespace Read Ya
s3tables:ListNamespaces Memberikan izin untuk mencantumkan semua ruang nama pada bucket tabel. Read Ya
s3tables:DeleteNamespace Memberikan izin untuk menghapus namespace dalam bucket tabel Write Ya
s3tables:DeleteTableBucket Memberikan izin untuk menghapus bucket Write Ya
s3tables:PutTableBucketPolicy Memberikan izin untuk menambah atau mengganti kebijakan bucket Permissions Management Tidak
s3tables:GetTableBucketPolicy Memberikan izin untuk mengambil kebijakan bucket Read Tidak
s3tables:DeleteTableBucketPolicy Memberikan izin untuk menghapus kebijakan bucket Permissions Management Tidak
s3tables:GetTableBucketMaintenanceConfiguration Memberikan izin untuk mengambil konfigurasi pemeliharaan untuk bucket tabel Read Ya
s3tables:PutTableBucketMaintenanceConfiguration Memberikan izin untuk menambah atau mengganti konfigurasi pemeliharaan untuk bucket tabel Write Ya
s3tables:PutTableBucketEncryption Memberikan izin untuk menambah atau mengganti konfigurasi enkripsi untuk bucket tabel Write Tidak
s3tables:GetTableBucketEncryption Memberikan izin untuk mengambil konfigurasi enkripsi untuk bucket tabel Read Tidak
s3tables:DeleteTableBucketEncryption Memberikan izin untuk menghapus konfigurasi enkripsi untuk bucket tabel Write Tidak

Tindakan berikut didukung untuk tabel:

Tindakan Deskripsi Tingkat akses Cross-account akses
s3tables:GetTableMaintenanceConfiguration Memberikan izin untuk mengambil konfigurasi pemeliharaan untuk tabel Read Ya
s3tables:PutTableMaintenanceConfiguration Memberikan izin untuk menambah atau mengganti konfigurasi pemeliharaan untuk tabel Write Ya
s3tables:PutTablePolicy Memberikan izin untuk menambah atau mengganti kebijakan tabel Permissions Management Tidak
s3tables:GetTablePolicy Memberikan izin untuk mengambil kebijakan tabel Read Tidak
s3tables:DeleteTablePolicy Memberikan izin untuk menghapus kebijakan tabel Permissions management Tidak
s3tables:CreateTable Memberikan izin untuk membuat tabel dalam ember tabel Write Ya
s3tables:GetTable Memberikan izin untuk mengambil informasi tabel Read Ya
s3tables:GetTableMetadataLocation Memberikan izin untuk mengambil pointer root tabel (file metadata) Read Ya
s3tables:ListTables Memberikan izin untuk mencantumkan semua tabel dalam bucket tabel Read Ya
s3tables:RenameTable Berikan izin untuk mengubah nama tabel. Write Ya
s3tables:UpdateTableMetadataLocation Memberikan izin untuk memperbarui pointer root tabel (file metadata) Write Ya
s3tables:GetTableData Memberikan izin untuk membaca metadata tabel dan objek data yang disimpan dalam bucket tabel Read Ya
s3tables:PutTableData Memberikan izin untuk menulis metadata tabel dan objek data yang disimpan dalam bucket tabel Write Ya
s3tables:GetTableEncryption Memberikan izin untuk mengambil pengaturan enkripsi untuk tabel Write Tidak
s3tables:PutTableEncryption Memberikan izin untuk menambahkan enkripsi ke tabel Write Tidak
s3tables:DeleteTable Memberikan izin untuk menghapus tabel dari bucket tabel Write Ya

Untuk melakukan tindakan baca dan tulis tingkat tabel, Tabel S3 mendukung operasi Amazon S3 API seperti GetObject dan. PutObject Tabel berikut menyediakan daftar tindakan tingkat objek. Saat memberikan izin baca dan tulis ke tabel Anda, Anda menggunakan tindakan berikut.

Tindakan API objek S3
s3tables:GetTableData GetObject, ListParts, HeadObject
s3tables:PutTableData PutObject, CreateMultipartUpload, CompleteMultipartUpload, UploadPart, AbortMultipartUpload

Misalnya, jika pengguna memiliki GetTableData izin, maka mereka dapat membaca semua file yang terkait dengan tabel, seperti file metadata, manifes, file daftar manifes, dan file data parket.

Kunci kondisi untuk Tabel S3

Tabel S3 mendukung kunci konteks kondisi AWS global.

Selain itu, Tabel S3 mendefinisikan kunci kondisi berikut yang dapat Anda gunakan dalam kebijakan akses.

Kunci syarat Deskripsi Tipe
s3tables:tableName Memfilter akses berdasarkan nama tabel di bucket tabel.

Anda dapat menggunakan kunci s3tables:tableName kondisi untuk menulis IAM, atau kebijakan bucket tabel yang membatasi akses pengguna atau aplikasi hanya ke tabel yang memenuhi kondisi nama ini.

Penting untuk dicatat bahwa jika Anda menggunakan kunci s3tables:tableName kondisi untuk mengontrol akses maka perubahan nama tabel dapat memengaruhi kebijakan ini.

Nilai contoh: "s3tables:tableName":"department*" 		String
s3tables:namespace

Memfilter akses berdasarkan ruang nama yang dibuat di bucket tabel.

Anda dapat menggunakan kunci s3tables:namespace kondisi untuk menulis kebijakan bucket IAM, tabel, atau tabel yang membatasi akses pengguna atau aplikasi ke tabel yang merupakan bagian dari namespace tertentu. Nilai contoh: "s3tables:namespace":"hr"

Penting untuk dicatat bahwa jika Anda menggunakan kunci s3tables:namespace kondisi untuk mengontrol akses, maka perubahan dalam ruang nama dapat memengaruhi kebijakan ini.

 String
s3tables:SSEAlgorithm

Memfilter akses dengan algoritma enkripsi sisi server yang digunakan untuk mengenkripsi tabel.

Anda dapat menggunakan kunci s3tables:SSEAlgorithm kondisi untuk menulis kebijakan bucket IAM, tabel, atau tabel yang membatasi akses pengguna atau aplikasi ke tabel yang dienkripsi dengan jenis enkripsi tertentu. Nilai contoh: "s3tables:SSEAlgorithm":"aws:kms"

Penting untuk dicatat bahwa jika Anda menggunakan kunci s3tables:SSEAlgorithm kondisi untuk mengontrol akses, maka perubahan enkripsi dapat memengaruhi kebijakan ini.

 String
s3tables:KMSKeyArn

Memfilter akses dengan AWS KMS kunci ARN untuk kunci yang digunakan untuk mengenkripsi tabel

Anda dapat menggunakan kunci s3tables:KMSKeyArn kondisi untuk menulis kebijakan bucket IAM, tabel, atau tabel yang membatasi akses pengguna atau aplikasi ke tabel yang dienkripsi dengan kunci KMS tertentu.

Penting untuk dicatat bahwa jika Anda menggunakan kunci s3tables:KMSKeyArn kondisi untuk mengontrol akses, mengubah kunci KMS Anda dapat memengaruhi kebijakan ini.

 ARN