Controle de acesso a dados subjacente

Quando um AWS serviço integrado solicita acesso aos dados em um local do Amazon S3 que é controlado pelo acesso, o Lake AWS Lake Formation Formation fornece credenciais temporárias para acessar os dados.

Para permitir que o Lake Formation controle o acesso aos dados subjacentes em um local do Amazon S3, você registra esse local no Lake Formation.

Depois de registrar uma localização no Amazon S3, você pode começar a conceder as seguintes permissões do Lake Formation:

As permissões de localização de dados do Lake Formation controlam a capacidade de criar recursos do catálogo de dados que apontam para locais específicos do Amazon S3. As permissões de localização de dados fornecem uma camada extra de segurança aos locais dentro do data lake. Ao conceder a permissão CREATE_TABLE ou ALTER a uma entidade principal, você também concede permissões de localização de dados para limitar os locais para os quais a entidade principal pode criar ou alterar tabelas de metadados.

Os locais do Amazon S3 são buckets ou prefixos em um bucket, mas não objetos individuais do Amazon S3.

Você pode conceder permissões de localização de dados a uma entidade principal usando o console do Lake Formation, a API ou a AWS CLI. A forma geral de uma subvenção é a seguinte:

grant DATA_LOCATION_ACCESS to principal on S3 location [with grant option]

Se você incluir with grant option, o beneficiário poderá conceder as permissões a outras entidades principais.

Lembre-se de que as permissões do Lake Formation sempre funcionam em combinação com as permissões AWS Identity and Access Management (IAM) para um controle de acesso refinado. Para permissões de leitura/gravação em dados subjacentes do Amazon S3, as permissões do IAM são concedidas da seguinte forma:

Ao registrar um local, você especifica um perfil do IAM que concede permissões de leitura/gravação nesse local. A Lake Formation assume essa função ao fornecer credenciais temporárias para serviços integrados. AWS Uma função típica pode ter a seguinte política anexada, em que o local registrado é o bucket awsexamplebucket.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

O Lake Formation fornece uma função vinculada ao serviço que você pode usar durante o registro para criar automaticamente políticas como essa. Para ter mais informações, consulte Usar perfis vinculados ao serviço para o Lake Formation.

Portanto, registrar um local do Amazon S3 concede as permissões necessárias s3: do IAM nesse local, onde as permissões são especificadas pela função usada para registrar o local.

Para acesso de leitura/gravação aos dados subjacentes, além das permissões do Lake Formation, as entidades principais também precisam da seguinte permissão do IAM:

lakeformation:GetDataAccess

Com essa permissão, o Lake Formation concede a solicitação de credenciais temporárias para acessar os dados.

Essa permissão está incluída nas políticas sugeridas no Referência de personas e permissões do IAM do Lake Formation.

Resumindo, para permitir que as entidades principais do Lake Formation leiam e gravem dados subjacentes com acesso controlado pelas permissões do Lake Formation:

Saiba mais sobre permissões de localização de dados

As permissões de localização de dados governam o resultado das operações de criação e atualização nos bancos de dados e tabelas do catálogo de dados. As regras são as seguintes:

Considere o cenário mostrado no diagrama a seguir.

Neste diagrama:

A seguir estão os resultados quando o usuário datalake_user tenta criar uma tabela de catálogo em um banco de dados específico em um determinado local.

Para mais informações, consulte: