Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Izinkan akses fungsi Lambda ke metastores Hive eksternal

Untuk memanggil fungsi Lambda di akun Anda, Anda harus membuat peran yang memiliki izin berikut:

Sebagai contoh, kebijakan berikut mendefinisikan izin untuk lokasi tumpahans3:\\mybucket\spill.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/spill"
            ]
        }
    ]
}

Setiap kali Anda menggunakan IAM kebijakan, pastikan Anda mengikuti praktik IAM terbaik. Untuk informasi selengkapnya, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Membuat fungsi Lambda

Untuk membuat fungsi Lambda di akun Anda, izin pengembangan fungsi atau peran AWSLambdaFullAccess diperlukan. Untuk informasi selengkapnya, lihat Kebijakan berbasis identitas IAM untuk. AWS Lambda

Karena Athena menggunakan AWS Serverless Application Repository untuk membuat fungsi Lambda, superuser atau administrator yang membuat fungsi Lambda juga harus memiliki kebijakan IAM untuk mengizinkan kueri federasi Athena.

Pendaftaran katalog dan operasi metadata API

Untuk akses ke pendaftaran katalog API dan API operasi metadata, gunakan kebijakan AmazonAthenaFullAccess terkelola. Jika Anda tidak menggunakan kebijakan ini, tambahkan API operasi berikut ke kebijakan Athena Anda:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "athena:ListDataCatalogs",
                "athena:GetDataCatalog",
                "athena:CreateDataCatalog",
                "athena:UpdateDataCatalog",
                "athena:DeleteDataCatalog",
                "athena:GetDatabase",
                "athena:ListDatabases",
                "athena:GetTableMetadata",
                "athena:ListTableMetadata"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Doa Lambda Lintas Wilayah

Untuk menjalankan fungsi Lambda di wilayah selain wilayah tempat Anda menjalankan kueri Athena, gunakan fungsi Lambda yang lengkapARN. Secara default, Athena memanggil fungsi Lambda didefinisikan di wilayah yang sama. Jika Anda perlu menjalankan fungsi Lambda untuk mengakses metastore Hive di wilayah selain wilayah tempat Anda menjalankan kueri Athena, Anda harus menyediakan fungsi Lambda yang lengkap. ARN

Misalnya, anggap Anda menentukan katalogehmsdi Wilayah Eropa (Frankfurt)eu-central-1Untuk menggunakan fungsi Lambda berikut di US East (N. Virginia).

arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new     

Saat Anda menentukan lengkap dengan ARN cara ini, Athena dapat memanggil fungsi external-hms-service-new Lambda us-east-1 untuk mengambil data metastore Hive dari. eu-central-1

Doa Lambda lintas akun

Kadang-kadang Anda mungkin memerlukan akses ke metastore Hive dari akun yang berbeda. Misalnya, untuk menjalankan metastore Hive, Anda dapat meluncurkan EMR klaster dari akun yang berbeda dari yang Anda gunakan untuk kueri Athena. Grup atau tim yang berbeda mungkin menjalankan metastore Hive dengan akun yang berbeda di dalamnya. VPC Atau Anda mungkin ingin mengakses metadata dari metastores Hive berbeda dari grup atau tim yang berbeda.

Athena menggunakanAWS Lambda dukungan untuk akses lintas akununtuk mengaktifkan akses lintas rekening untuk Hive Metastores.

Bayangkan skenario berikut:

Untuk memberikan 444455556666 akses akun ke fungsi Lambdaexternal-hms-service-new, akun 111122223333 menggunakan perintah berikut AWS CLI add-permission. Perintah telah diformat untuk dibaca.

$ aws --profile perf-test lambda add-permission
      --function-name external-hms-service-new
      --region us-east-1
      --statement-id Id-ehms-invocation2
      --action "lambda:InvokeFunction"
      --principal arn:aws:iam::444455556666:user/perf1-test
{
    "Statement": "{\"Sid\":\"Id-ehms-invocation2\",
                   \"Effect\":\"Allow\",
                   \"Principal\":{\"AWS\":\"arn:aws:iam::444455556666:user/perf1-test\"},
                   \"Action\":\"lambda:InvokeFunction\",
                   \"Resource\":\"arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new\"}"
}

Untuk memeriksa izin Lambda, gunakanget-policyseperti pada contoh berikut. Perintah telah diformat untuk dibaca.

$ aws --profile perf-test lambda get-policy 
      --function-name arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new 
      --region us-east-1
{
    "RevisionId": "711e93ea-9851-44c8-a09f-5f2a2829d40f",
    "Policy": "{\"Version\":\"2012-10-17\",
                \"Id\":\"default\",
                \"Statement\":[{\"Sid\":\"Id-ehms-invocation2\",
                                \"Effect\":\"Allow\",
                                \"Principal\":{\"AWS\":\"arn:aws:iam::444455556666:user/perf1-test\"},
                                \"Action\":\"lambda:InvokeFunction\",
                                \"Resource\":\"arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new\"}]}"
}

Setelah menambahkan izin, Anda dapat menggunakan fungsi Lambda penuh ARN us-east-1 seperti berikut ini saat Anda menentukan katalog: ehms

arn:aws:lambda:us-east-1:111122223333:function:external-hms-service-new

Untuk informasi tentang doa lintas wilayah, lihatDoa Lambda Lintas Wilayahsebelumnya dalam topik ini.

Memberikan akses lintas akun ke data

Sebelum Anda dapat menjalankan kueri Athena, Anda harus memberikan akses lintas rekening ke data di Amazon S3. Anda dapat melakukannya dengan salah satu cara berikut:

Sebagai contoh, tambahkan kebijakan berikut untuk Amazon S3 bucket kebijakan di akun111122223333untuk mengizinkan akun444455556666Untuk membaca data dari lokasi Amazon S3 yang ditentukan.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Stmt1234567890123",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::444455556666:user/perf1-test"
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::athena-test/lambda/dataset/*"
        }
    ]
}

Dalam contoh saat ini, setelah akses lintas rekening diberikan kepada444455556666, 444455556666dapat menggunakan katalogehmssendiriaccountuntuk kueri tabel yang didefinisikan dalam akun111122223333.

Dalam contoh berikut, profil SQL Workbench perf-test-1 adalah untuk akun444455556666. kueri menggunakan katalogehmsuntuk mengakses metastore Hive dan data Amazon S3 pada akun111122223333.