Persyaratan untuk peran yang digunakan untuk mendaftarkan lokasi

Peran terkait layanan Lake Formation. Peran ini memberikan izin yang diperlukan di lokasi. Menggunakan peran ini adalah cara paling sederhana untuk mendaftarkan lokasi. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk Lake Formation.

Peran yang ditentukan pengguna. Gunakan peran yang ditentukan pengguna saat Anda perlu memberikan lebih banyak izin daripada yang diberikan peran terkait layanan.

Anda harus menggunakan peran yang ditentukan pengguna dalam keadaan berikut:

Saat membuat peran baru, pada halaman Buat peran IAM konsol, pilih AWS layanan, lalu di bawah Pilih kasus penggunaan, pilih Lake Formation.

Jika Anda membuat peran menggunakan jalur yang berbeda, pastikan bahwa peran tersebut memiliki hubungan kepercayaan denganlakeformation.amazonaws.com. Untuk informasi selengkapnya, lihat Memodifikasi Kebijakan Kepercayaan Peran (Konsol).

Peran harus memiliki hubungan kepercayaan dengan entitas berikut:

Untuk informasi selengkapnya, lihat Memodifikasi Kebijakan Kepercayaan Peran (Konsol).

Peran harus memiliki kebijakan sebaris yang memberikan izin baca/tulis Amazon S3 di lokasi. Berikut ini adalah kebijakan yang khas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Tambahkan kebijakan kepercayaan berikut ke IAM peran untuk memungkinkan layanan Lake Formation mengambil peran dan menjual kredentil sementara ke mesin analitik terintegrasi.

Untuk menyertakan konteks pengguna Pusat IAM Identitas dalam CloudTrail log, kebijakan kepercayaan harus memiliki izin untuk sts:SetContext tindakan tersebut. “sts:SetContext”

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataCatalogViewDefinerAssumeRole1",
            "Effect": "Allow",
            "Principal": {
               "Service": [
                    "glue.amazonaws.com",
                    "lakeformation.amazonaws.com"
                 ]
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ]
        }
    ]
}    

Administrator data lake yang mendaftarkan lokasi harus memiliki iam:PassRole izin pada peran tersebut.

Berikut ini adalah kebijakan inline yang memberikan izin ini. Ganti <account-id> dengan nomor AWS rekening yang valid, dan ganti <role-name> dengan nama peran.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRolePermissions",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/<role-name>"
            ]
        }
    ]
}

Untuk mengizinkan Lake Formation menambahkan CloudWatch log di Log dan menerbitkan metrik, tambahkan kebijakan sebaris berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Sid1",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:PutLogEvents"
            ],
            "Resource": [
                 "arn:aws:logs:<region>:<account-id>:log-group:/aws-lakeformation-acceleration/*",
                 "arn:aws:logs:<region>:<account-id>:log-group:/aws-lakeformation-acceleration/*:log-stream:*"
            ]
        }
    ]
}