Requisiti per i ruoli utilizzati per registrare le sedi

Il ruolo legato ai servizi di Lake Formation. Questo ruolo concede le autorizzazioni necessarie sulla sede. L'utilizzo di questo ruolo è il modo più semplice per registrare la posizione. Per ulteriori informazioni, consulta Utilizzo di ruoli collegati ai servizi per Lake Formation.

Un ruolo definito dall'utente. Utilizza un ruolo definito dall'utente quando devi concedere più autorizzazioni rispetto a quelle fornite dal ruolo collegato al servizio.

È necessario utilizzare un ruolo definito dall'utente nelle seguenti circostanze:

Quando crei il nuovo ruolo, nella pagina Crea ruolo della IAM console, scegli AWS servizio, quindi in Scegli un caso d'uso, scegli Lake Formation.

Se crei il ruolo utilizzando un percorso diverso, assicurati che il ruolo abbia una relazione di fiducia conlakeformation.amazonaws.com. Per ulteriori informazioni, vedere Modifica di una politica di attendibilità dei ruoli (console).

Il ruolo deve avere relazioni di fiducia con le seguenti entità:

Per ulteriori informazioni, vedere Modifica di una politica di attendibilità dei ruoli (console).

Il ruolo deve avere una politica in linea che conceda le autorizzazioni di lettura/scrittura di Amazon S3 sulla posizione. Di seguito è riportata una politica tipica.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Aggiungi la seguente politica di fiducia al IAM ruolo per consentire al servizio Lake Formation di assumere il ruolo e fornire credenziali temporanee ai motori analitici integrati.

Per includere il contesto utente di IAM Identity Center nei CloudTrail log, la policy di fiducia deve disporre dell'autorizzazione per l'azione. sts:SetContext «sts:SetContext»

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataCatalogViewDefinerAssumeRole1",
            "Effect": "Allow",
            "Principal": {
               "Service": [
                    "glue.amazonaws.com",
                    "lakeformation.amazonaws.com"
                 ]
            },
            "Action": [
                "sts:AssumeRole",
                "sts:SetContext"
            ]
        }
    ]
}    

L'amministratore del data lake che registra la posizione deve disporre dell'iam:PassRoleautorizzazione per il ruolo.

Di seguito è riportata una politica in linea che concede questa autorizzazione. Replace (Sostituisci) <account-id> con un numero di AWS conto valido e sostituisci <role-name> con il nome del ruolo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PassRolePermissions",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/<role-name>"
            ]
        }
    ]
}

Per consentire a Lake Formation di aggiungere log in CloudWatch Logs e pubblicare metriche, aggiungi la seguente politica in linea.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Sid1",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:PutLogEvents"
            ],
            "Resource": [
                 "arn:aws:logs:<region>:<account-id>:log-group:/aws-lakeformation-acceleration/*",
                 "arn:aws:logs:<region>:<account-id>:log-group:/aws-lakeformation-acceleration/*:log-stream:*"
            ]
        }
    ]
}