Kontrol akses data yang mendasari

Ketika AWS layanan terintegrasi meminta akses ke data di lokasi Amazon S3 yang dikendalikan oleh akses, Lake AWS Lake Formation Formation menyediakan kredensi sementara untuk mengakses data.

Untuk mengaktifkan Lake Formation mengontrol akses ke data dasar di lokasi Amazon S3, Anda mendaftarkan lokasi tersebut dengan Lake Formation.

Setelah mendaftarkan lokasi Amazon S3, Anda dapat mulai memberikan izin Lake Formation berikut:

Izin lokasi data Lake Formation mengontrol kemampuan untuk membuat sumber daya Katalog Data yang mengarah ke lokasi Amazon S3 tertentu. Izin lokasi data memberikan lapisan keamanan ekstra ke lokasi di dalam danau data. Ketika Anda memberikan CREATE_TABLE atau ALTER izin kepada kepala sekolah, Anda juga memberikan izin lokasi data untuk membatasi lokasi yang prinsipal dapat membuat atau mengubah tabel metadata.

Lokasi Amazon S3 adalah ember atau awalan di bawah ember, tetapi bukan objek Amazon S3 individual.

Anda dapat memberikan izin lokasi data kepada prinsipal menggunakan konsol Lake Formation, API, atau. AWS CLI Bentuk umum hibah adalah sebagai berikut:

grant DATA_LOCATION_ACCESS to principal on S3 location [with grant option]

Jika Anda menyertakanwith grant option, penerima hibah dapat memberikan izin kepada prinsipal lain.

Ingatlah bahwa izin Lake Formation selalu bekerja dalam kombinasi dengan izin AWS Identity and Access Management (IAM) untuk kontrol akses berbutir halus. Untuk izin baca/tulis pada data Amazon S3 yang mendasarinya, izin IAM diberikan sebagai berikut:

Saat mendaftarkan lokasi, Anda menentukan peran IAM yang memberikan izin baca/tulis di lokasi tersebut. Lake Formation mengasumsikan peran itu ketika memasok kredensi sementara ke layanan terintegrasi. AWS Peran tipikal mungkin memiliki kebijakan berikut yang dilampirkan, di mana lokasi terdaftar adalah bucketawsexamplebucket.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Lake Formation menyediakan peran terkait layanan yang dapat Anda gunakan saat pendaftaran untuk membuat kebijakan seperti ini secara otomatis. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk Lake Formation.

Oleh karena itu, mendaftarkan lokasi Amazon S3 memberikan s3: izin IAM yang diperlukan di lokasi tersebut, di mana izin ditentukan oleh peran yang digunakan untuk mendaftarkan lokasi.

Untuk akses baca/tulis ke data yang mendasarinya, selain izin Lake Formation, kepala sekolah juga memerlukan izin IAM berikut:

lakeformation:GetDataAccess

Dengan izin ini, Lake Formation memberikan permintaan kredensil sementara untuk mengakses data.

Izin ini termasuk dalam kebijakan yang disarankan diReferensi personas Lake Formation dan izin IAM.

Untuk meringkas, untuk mengaktifkan kepala sekolah Lake Formation membaca dan menulis data yang mendasarinya dengan akses yang dikendalikan oleh izin Lake Formation:

Lebih lanjut tentang izin lokasi data

Izin lokasi data mengatur hasil dari membuat dan memperbarui operasi pada database dan tabel Katalog Data. Aturannya adalah sebagai berikut:

Pertimbangkan skenario yang ditunjukkan pada diagram berikut.

Dalam diagram ini:

Berikut ini adalah hasil ketika pengguna datalake_user mencoba untuk membuat tabel katalog dalam database tertentu di lokasi tertentu.

Untuk informasi selengkapnya, lihat informasi berikut: