Prasyarat

Untuk berbagi database dan tabel Katalog Data dalam mode akses hybrid, Anda perlu memperbarui pengaturan versi Cross account ke Versi 4.

Sebelum memberikan izin lintas akun pada sumber daya Katalog Data, Anda harus mencabut semua izin Lake Formation dari IAMAllowedPrincipals grup untuk sumber daya tersebut. Jika prinsipal panggilan memiliki izin lintas akun untuk mengakses sumber daya dan IAMAllowedPrincipals izin ada di sumber daya, maka Lake Formation melemparAccessDeniedException.

Persyaratan ini hanya berlaku ketika Anda mendaftarkan lokasi data yang mendasarinya dalam mode Lake Formation. Jika Anda mendaftarkan lokasi data dalam mode hibrida, izin IAMAllowedPrincipals grup dapat ada di database atau tabel bersama.

Untuk database yang berisi tabel yang ingin Anda bagikan, Anda harus mencegah tabel baru memiliki hibah default Super toIAMAllowedPrincipals. Pada konsol Lake Formation, edit database dan matikan Gunakan hanya kontrol IAM akses untuk tabel baru dalam database ini atau masukkan AWS CLI perintah berikut, ganti database dengan nama database. Jika lokasi data yang mendasari terdaftar dalam mode akses hybrid, Anda tidak perlu mengubah pengaturan default ini. Dalam mode akses hybrid, Lake Formation memungkinkan Anda menerapkan kebijakan izin dan IAM izin Lake Formation secara selektif untuk Amazon S3 dan pada sumber daya yang sama. AWS Glue

aws glue update-database --name database --database-input '{"Name":"database","CreateTableDefaultPermissions":[]}'
         

Untuk memberikan izin lintas akun, pemberi harus memiliki izin wajib AWS Identity and Access Management () IAM AWS Glue dan AWS RAM layanan. Kebijakan AWS terkelola AWSLakeFormationCrossAccountManager memberikan izin yang diperlukan.

Administrator data lake di akun yang menerima pembagian sumber daya menggunakan AWS RAM harus memiliki kebijakan tambahan berikut. Hal ini memungkinkan administrator untuk menerima undangan berbagi AWS RAM sumber daya. Ini juga memungkinkan administrator untuk mengaktifkan berbagi sumber daya dengan organisasi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ram:AcceptResourceShareInvitation",
                "ram:RejectResourceShareInvitation",
                "ec2:DescribeAvailabilityZones",
                "ram:EnableSharingWithAwsOrganization"
            ],
            "Resource": "*"
        }
    ]
}

Jika Anda ingin berbagi sumber daya Katalog Data dengan AWS Organizations atau unit organisasi, berbagi dengan organisasi harus diaktifkan AWS RAM.

Untuk informasi tentang cara mengaktifkan berbagi dengan organisasi, lihat Mengaktifkan berbagi dengan AWS organisasi di Panduan AWS RAM Pengguna.

Anda harus memiliki ram:EnableSharingWithAwsOrganization izin untuk mengaktifkan berbagi dengan organisasi.

Untuk berbagi sumber daya secara langsung dengan IAM kepala sekolah di akun lain, Anda perlu memperbarui pengaturan versi Cross account ke Versi 3. Pengaturan ini tersedia di halaman Pengaturan katalog data. Jika Anda menggunakan Versi 1, lihat petunjuk untuk memperbarui pengaturanMemperbarui pengaturan versi berbagi data lintas akun.

Anda tidak dapat membagikan sumber daya Katalog Data yang dienkripsi dengan kunci terkelola AWS Glue layanan dengan akun lain. Anda hanya dapat membagikan sumber daya Katalog Data yang dienkripsi dengan kunci enkripsi pelanggan, dan akun yang menerima pembagian sumber daya harus memiliki izin pada kunci enkripsi Katalog Data untuk mendekripsi objek.

Untuk berbagi sumber daya Katalog Data dengan AWS Organizations dan unit organisasi (OUs), Anda perlu memperbarui pengaturan versi Cross account ke Versi 3.

Untuk membagikan sumber daya Katalog Data dengan versi 3 dari setelan versi Cross account, pemberi harus memiliki IAM izin yang ditentukan dalam kebijakan AWS AWSLakeFormationCrossAccountManager terkelola di akun Anda.

Jika Anda menggunakan versi 1 atau versi 2 dari pengaturan versi Cross account, Anda harus memiliki kebijakan sumber daya Katalog Data (glue:PutResourcePolicy) yang mengaktifkan LF-TBAC. Untuk informasi selengkapnya, lihat Mengelola izin lintas akun menggunakan keduanya AWS Glue dan Lake Formation.

Jika saat ini Anda menggunakan AWS Glue Kebijakan sumber daya Katalog Data untuk berbagi sumber daya, dan Anda ingin memberikan izin lintas akun menggunakan versi 3 dari setelan versi Cross account, Anda harus menambahkan glue:ShareResource izin di Pengaturan Katalog Data menggunakan glue:PutResourcePolicy API operasi seperti yang ditunjukkan di bagianMengelola izin lintas akun menggunakan keduanya AWS Glue dan Lake Formation. Kebijakan ini tidak diperlukan jika akun Anda tidak membuat hibah lintas akun menggunakan AWS Glue Kebijakan sumber daya Katalog Data (glue:PutResourcePolicyizin penggunaan versi 1 dan versi 2) untuk memberikan akses lintas akun.

{
      "Effect": "Allow",
      "Action": [
        "glue:ShareResource"
      ],
      "Principal": {"Service": [
        "ram.amazonaws.com"
      ]},
      "Resource": [
        "arn:aws:glue:<region>:<account-id>:table/*/*",
        "arn:aws:glue:<region>:<account-id>:database/*",
        "arn:aws:glue:<region>:<account-id>:catalog"
      ]
    }          
        

Jika akun Anda telah membuat saham lintas akun menggunakan AWS Glue Kebijakan sumber daya Katalog Data, dan saat ini Anda menggunakan metode sumber daya bernama atau LF- TBAC dengan setelan Cross account versi 3 untuk berbagi sumber daya, yang digunakan AWS RAM untuk berbagi sumber daya, Anda harus menyetel EnableHybrid argumen 'true' saat Anda menjalankan operasi. glue:PutResourcePolicy API Untuk informasi selengkapnya, lihat Mengelola izin lintas akun menggunakan keduanya AWS Glue dan Lake Formation.

Jika Anda berbagi sumber daya dengan Akun AWS, setidaknya satu pengguna di akun konsumen harus menjadi administrator data lake untuk melihat sumber daya bersama. Untuk informasi tentang cara membuat administrator data lake, lihatBuat administrator danau data.

Administrator data lake dapat memberikan izin Lake Formation pada sumber daya bersama ke kepala sekolah lain di akun. Prinsipal lain tidak dapat mengakses sumber daya bersama sampai administrator data lake memberi mereka izin pada sumber daya.

Layanan terintegrasi seperti Athena dan Redshift Spectrum memerlukan tautan sumber daya untuk dapat menyertakan sumber daya bersama dalam kueri. Prinsipal perlu membuat tautan sumber daya di Katalog Data mereka ke sumber daya bersama dari yang lain. Akun AWS Untuk informasi selengkapnya tentang tautan sumber daya, lihatCara kerja tautan sumber daya di Lake Formation.

Ketika sumber daya dibagikan langsung dengan IAM kepala sekolah, untuk menanyakan tabel menggunakan Athena, prinsipal perlu membuat tautan sumber daya. Untuk membuat tautan sumber daya, kepala sekolah membutuhkan Formasi Danau CREATE_TABLE atau CREATE_DATABASE izin, dan glue:CreateDatabase IAM izin glue:CreateTable atau.

Jika akun produsen berbagi tabel yang berbeda di bawah database yang sama dengan prinsipal yang sama atau lainnya, prinsipal tersebut dapat segera menanyakan tabel tersebut.