Memberikan izin database menggunakan metode sumber daya bernama

1. Buka halaman izin danau data Grant.

   Buka AWS Lake Formation konsol di https://console.aws.amazon.com/lakeformation/, dan masuk sebagai administrator data lake, pembuat database, atau IAM pengguna yang memiliki izin Grantable pada database.

   Lakukan salah satu hal berikut ini:

   • Di panel navigasi, di bawah Izin, pilih Izin danau data. Kemudian pilih Grant.

   • Di panel navigasi, pilih Database di bawah Katalog Data. Kemudian, pada halaman Database, pilih database, dan dari menu Tindakan, di bawah Izin, pilih Hibah.

   catatan

   Anda dapat memberikan izin pada database melalui tautan sumber dayanya. Untuk melakukannya, pada halaman Database, pilih tautan sumber daya, dan pada menu Tindakan, pilih Hibah sesuai target. Untuk informasi selengkapnya, lihat Cara kerja tautan sumber daya di Lake Formation.

2. Selanjutnya, di bagian Prinsipal, pilih jenis utama dan kemudian tentukan prinsipal untuk memberikan izin.

   

   IAMpengguna dan peran

   Pilih satu atau beberapa pengguna atau peran dari daftar IAMpengguna dan peran.

   IAMPusat Identitas

   Pilih satu atau beberapa pengguna atau grup dari daftar Pengguna dan grup. Pilih Tambah untuk menambahkan lebih banyak pengguna atau grup.

   Pengguna dan grup SAML

   Untuk QuickSight pengguna SAML dan grup Amazon, masukkan satu atau beberapa Nama Sumber Daya Amazon (ARNs) untuk pengguna atau grup yang digabungkan melaluiSAML, atau ARNs untuk QuickSight pengguna atau grup Amazon. Tekan Enter setelah masing-masingARN.

   Untuk informasi tentang cara membangunARNs, lihatLake Formation memberikan dan mencabut perintah AWS CLI.

   catatan

   Integrasi Lake Formation dengan Amazon hanya QuickSight didukung untuk Amazon QuickSight Enterprise Edition.

   Akun eksternal

   Untuk Akun AWS, AWS organisasi, atau IAMPrincipal masukkan satu atau lebih AWS akunIDs, organisasiIDs, unit organisasiIDs, atau ARN untuk IAM pengguna atau peran yang valid. Tekan Enter setelah setiap ID.

   ID organisasi terdiri dari “o-” diikuti oleh 10-32 huruf kecil atau digit.

   ID unit organisasi dimulai dengan “ou-” diikuti oleh 4-32 huruf kecil atau digit (ID dari root yang berisi OU). String ini diikuti oleh tanda hubung “-” kedua dan 8 hingga 32 huruf kecil atau digit tambahan.

3. Di bagian LF-tag atau sumber katalog, pilih Sumber daya katalog data bernama.

   

4. Pilih satu atau beberapa database dari daftar Database. Anda juga dapat memilih satu atau beberapa Tabel dan/atau filter Data.

5. Di bagian Izin, pilih izin dan izin yang dapat diberikan. Di bawah Izin database, pilih satu atau beberapa izin untuk diberikan.

   

   catatan

   Setelah memberikan Create Table atau Alter pada database yang memiliki properti lokasi yang menunjuk ke lokasi terdaftar, pastikan juga untuk memberikan izin lokasi data pada lokasi kepada prinsipal. Untuk informasi selengkapnya, lihat Memberikan izin lokasi data.

6. (Opsional) Di bawah Izin yang Dapat Diberikan, pilih izin yang dapat diberikan oleh penerima hibah kepada prinsipal lain di akun mereka. AWS Opsi ini tidak didukung saat Anda memberikan izin kepada IAM prinsipal dari akun eksternal.

7. PilihIzin.

Untuk memberikan izin database menggunakan AWS CLI

• Jalankan grant-permissions perintah, dan tentukan database atau Katalog Data sebagai sumber daya, tergantung pada izin yang diberikan.

  Dalam contoh berikut, ganti <account-id> dengan ID AWS akun yang valid.

  contoh — Hibah untuk membuat database

  Contoh ini diberikan CREATE_DATABASE kepada penggunadatalake_user1. Karena sumber daya di mana izin ini diberikan adalah Katalog Data, perintah menentukan CatalogResource struktur kosong sebagai resource parameter.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::<account-id>:user/datalake_user1 --permissions "CREATE_DATABASE" --resource '{ "Catalog": {}}'

  contoh — Hibah untuk membuat tabel dalam database yang ditunjuk

  Contoh berikutnya memberikan CREATE_TABLE pada database retail kepada penggunadatalake_user1.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::<account-id>:user/datalake_user1 --permissions "CREATE_TABLE" --resource '{ "Database": {"Name":"retail"}}'
  

  contoh — Hibah ke AWS akun eksternal dengan opsi Hibah

  Contoh berikutnya memberikan opsi hibah CREATE_TABLE pada database ke akun eksternal retail 1111-2222-3333.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333 --permissions "CREATE_TABLE" --permissions-with-grant-option "CREATE_TABLE" --resource '{ "Database": {"Name":"retail"}}'

  contoh — Hibah untuk organisasi

  Contoh berikutnya memberikan opsi hibah pada database issues ke organisasio-abcdefghijkl. ALTER

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:organizations::111122223333:organization/o-abcdefghijkl --permissions "ALTER" --permissions-with-grant-option "ALTER" --resource '{ "Database": {"Name":"issues"}}'

  contoh - Hibah ke ALLIAMPrincipals dalam akun yang sama

  Contoh berikutnya memberikan CREATE_TABLE izin pada database retail ke semua kepala sekolah di akun yang sama. Opsi ini memungkinkan setiap prinsipal dalam akun untuk membuat tabel dalam database dan membuat tautan sumber daya tabel yang memungkinkan mesin kueri terintegrasi untuk mengakses database dan tabel bersama. Opsi ini sangat berguna ketika kepala sekolah menerima hibah lintas akun, dan tidak memiliki izin untuk membuat tautan sumber daya. Dalam skenario ini, administrator data lake dapat membuat database placeholder dan memberikan CREATE_TABLE izin ke ALLIAMPrincipal grup, memungkinkan setiap IAM prinsipal di akun untuk membuat tautan sumber daya di database placeholder.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333:IAMPrincipals --permissions "CREATE_TABLE"  --resource '{ "Database": {"Name":"temp","CatalogId":"111122223333"}}' 

  contoh - ALLIAMPrincipals Hibah ke akun eksternal

  Contoh berikutnya memberikan CREATE_TABLE pada database retail ke semua kepala sekolah di akun eksternal. Opsi ini memungkinkan setiap prinsipal dalam akun untuk membuat tabel dalam database.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333:IAMPrincipals --permissions "CREATE_TABLE"  --resource '{ "Database": {"Name":"retail","CatalogId":"123456789012"}}'