Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan peran terkait layanan untuk Lake Formation

AWS Lake Formation menggunakan peran terkait layanan AWS Identity and Access Management (IAM). Peran terkait layanan adalah jenis peran unik yang IAM terkait langsung dengan Lake Formation. Peran terkait layanan telah ditentukan sebelumnya oleh Lake Formation dan mencakup semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.

Peran terkait layanan membuat pengaturan Lake Formation menjadi lebih mudah karena Anda tidak perlu membuat peran dan menambahkan izin yang diperlukan secara manual. Lake Formation mendefinisikan izin dari peran terkait layanannya, dan kecuali ditentukan lain, hanya Lake Formation yang dapat mengambil perannya. Izin yang ditetapkan mencakup kebijakan kepercayaan dan kebijakan izin, dan kebijakan izin tersebut tidak dapat dilampirkan ke entitas lain. IAM

Peran terkait layanan ini mempercayai layanan berikut untuk mengambil peran:

Bila Anda menggunakan peran terkait layanan di akun A untuk mendaftarkan lokasi Amazon S3 yang dimiliki oleh akun B, kebijakan bucket Amazon S3 (kebijakan berbasis sumber daya) di akun B harus memberikan izin akses ke peran terkait layanan di akun A.

Izin peran terkait layanan untuk Lake Formation

Lake Formation menggunakan peran terkait layanan bernama. AWSServiceRoleForLakeFormationDataAccess Peran ini menyediakan satu set izin Amazon Simple Storage Service (Amazon S3) Simple Storage Service (Amazon S3) yang memungkinkan layanan terintegrasi Lake Formation ( Amazon Athena seperti) untuk mengakses lokasi terdaftar. Saat mendaftarkan lokasi data lake, Anda harus memberikan peran yang memiliki izin baca/tulis Amazon S3 yang diperlukan di lokasi tersebut. Alih-alih membuat peran dengan izin Amazon S3 yang diperlukan, Anda dapat menggunakan peran terkait layanan ini.

Pertama kali Anda menamai peran terkait layanan sebagai peran yang digunakan untuk mendaftarkan jalur, peran terkait layanan dan IAM kebijakan baru dibuat atas nama Anda. Lake Formation menambahkan jalur ke kebijakan inline dan menempelkannya ke peran terkait layanan. Saat Anda mendaftarkan jalur berikutnya dengan peran terkait layanan, Lake Formation menambahkan jalur ke kebijakan yang ada.

Saat masuk sebagai administrator danau data, daftarkan lokasi danau data. Kemudian, di IAM konsol, cari peran AWSServiceRoleForLakeFormationDataAccess dan lihat kebijakan terlampirnya.

Misalnya, setelah Anda mendaftarkan lokasis3://my-kinesis-test/logs, Lake Formation membuat kebijakan inline berikut dan melampirkannya. AWSServiceRoleForLakeFormationDataAccess

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LakeFormationDataAccessPermissionsForS3",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload",
                "s3:ListMultipartUploadParts"
            ],
            "Resource": [
                "arn:aws:s3:::my-kinesis-test/logs/*"
            ]
        },
        {
            "Sid": "LakeFormationDataAccessPermissionsForS3ListBucket",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads"
            ],
            "Resource": [
                "arn:aws:s3:::my-kinesis-test"
            ]
        }
    ]
}

Membuat Peran Terkait Layanan untuk Lake Formation

Anda tidak perlu membuat peran terkait layanan secara manual. Saat Anda mendaftarkan lokasi Amazon S3 dengan Lake Formation di AWS Management Console, the, atau AWS CLI AWS API, Lake Formation membuat peran terkait layanan untuk Anda.

Jika Anda menghapus peran tertaut layanan ini, dan ingin membuatnya lagi, Anda dapat mengulangi proses yang sama untuk membuat kembali peran tersebut di akun Anda. Saat Anda mendaftarkan lokasi Amazon S3 dengan Lake Formation, Lake Formation membuat peran terkait layanan untuk Anda lagi.

Anda juga dapat menggunakan IAM konsol untuk membuat peran terkait layanan dengan kasus penggunaan Lake Formation. Di AWS CLI atau AWS API, buat peran terkait layanan dengan nama lakeformation.amazonaws.com layanan. Untuk informasi selengkapnya, lihat Membuat Peran Tertaut Layanan di IAMPanduan Pengguna. Jika Anda menghapus peran tertaut layanan ini, Anda dapat mengulang proses yang sama untuk membuat peran tersebut lagi.

Mengedit Peran Terkait Layanan untuk Lake Formation

Lake Formation tidak memungkinkan Anda untuk mengedit peran AWSServiceRoleForLakeFormationDataAccess terkait layanan. Setelah Anda membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin mereferensikan peran tersebut. Namun, Anda dapat mengedit deskripsi peran menggunakanIAM. Untuk informasi selengkapnya, lihat Mengedit Peran Tertaut Layanan di IAMPanduan Pengguna.

Menghapus Peran Terkait Layanan untuk Lake Formation

Jika Anda tidak perlu lagi menggunakan fitur atau layanan yang memerlukan peran terkait layanan, kami merekomendasikan Anda menghapus peran tersebut. Dengan begitu, Anda tidak memiliki entitas yang tidak digunakan yang tidak dipantau atau dipelihara secara aktif. Tetapi, Anda harus membersihkan sumber daya peran yang terhubung dengan layanan sebelum menghapusnya secara manual.

Untuk menghapus peran terkait layanan secara manual menggunakan IAM

Gunakan IAM konsol, AWS CLI, atau AWS API untuk menghapus peran AWSServiceRoleForLakeFormationDataAccess terkait layanan. Untuk informasi selengkapnya, lihat Menghapus Peran Tertaut Layanan di Panduan Pengguna. IAM