IAM Lake Formation 권한을 부여하거나 취소하는 데 필요한 권한

데이터 레이크 관리자를 포함한 모든 보안 주체는 Lake Formation 또는 를 사용하여 AWS Lake Formation 데이터 카탈로그 권한 또는 데이터 위치 권한을 부여API하거나 취소하려면 다음 AWS Identity and Access Management (IAM) 권한이 필요합니다 AWS CLI.

다음 IAM 정책은 데이터 레이크 관리자가 아니며 Lake Formation 콘솔을 사용하여 권한을 부여하거나 취소하려는 보안 주체에게 권장됩니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:ListPermissions",
                "lakeformation:GrantPermissions",
                "lakeformation:BatchGrantPermissions",
                "lakeformation:RevokePermissions",
                "lakeformation:BatchRevokePermissions",
                "glue:GetDatabases",
                "glue:SearchTables",
                "glue:GetTables",
                "glue:GetDatabase",
                "glue:GetTable",
                "iam:ListUsers",
                "iam:ListRoles",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        }
    ]
}

이 정책의 glue: 모든 및 iam: 권한은 AWS 관리형 정책 에서 사용할 수 있습니다AWSGlueConsoleFullAccess.

Lake Formation 태그 기반 액세스 제어(LF-TBAC)를 사용하여 권한을 부여하려면 보안 주체에게 추가 IAM 권한이 필요합니다. 자세한 내용은 Lake Formation 태그 기반 액세스 제어 모범 사례 및 고려 사항 및 Lake Formation 페르소나 및 IAM 권한 참조 단원을 참조하세요.

교차 계정 권한

명명된 리소스 메서드를 사용하여 교차 계정 Lake Formation 권한을 부여하려는 사용자는 AWSLakeFormationCrossAccountManager AWS 관리형 정책에 대한 권한도 있어야 합니다.

데이터 레이크 관리자는 크로스 계정 권한을 부여하기 위한 동일한 권한과 조직에 권한을 부여할 수 있는 AWS Resource Access Manager (AWS RAM) 권한이 필요합니다. 자세한 내용은 데이터 레이크 관리자 권한 단원을 참조하십시오.

관리 사용자입니다.

AdministratorAccess AWS 관리형 정책과 같은 관리 권한이 있는 보안 주체는 Lake Formation에 권한을 부여하고 데이터 레이크 관리자를 생성할 수 있는 권한이 있습니다. Lake Formation 관리자 작업에 대한 사용자 또는 역할 액세스를 거부하려면 정책에 관리자 API 작업에 대한 Deny 문을 연결하거나 추가합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "lakeformation:GetDataLakeSettings",
                "lakeformation:PutDataLakeSettings"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}