IAMpermissões necessárias para conceder ou revogar as permissões do Lake Formation

Todos os diretores, incluindo o administrador do data lake, precisam das seguintes permissões AWS Identity and Access Management (IAM) para conceder ou revogar as permissões do Catálogo de AWS Lake Formation Dados ou as permissões de localização de dados com o Lake Formation API ou o: AWS CLI

A IAM política a seguir é recomendada para diretores que não são administradores de data lake e que desejam conceder ou revogar permissões usando o console do Lake Formation.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:ListPermissions",
                "lakeformation:GrantPermissions",
                "lakeformation:BatchGrantPermissions",
                "lakeformation:RevokePermissions",
                "lakeformation:BatchRevokePermissions",
                "glue:GetDatabases",
                "glue:SearchTables",
                "glue:GetTables",
                "glue:GetDatabase",
                "glue:GetTable",
                "iam:ListUsers",
                "iam:ListRoles",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        }
    ]
}

Todas glue: as iam: permissões desta política estão disponíveis na política AWS gerenciadaAWSGlueConsoleFullAccess.

Para conceder permissões usando o controle de acesso baseado em tags (LF-TBAC) do Lake Formation, os diretores precisam de permissões adicionaisIAM. Para ter mais informações, consulte Considerações e práticas recomendadas de controle de acesso com base em tags do Lake Formation e Referência de personas e IAM permissões do Lake Formation.

Permissões do entre contas

Os usuários que desejam conceder permissões entre contas do Lake Formation usando o método de recurso nomeado também devem ter as permissões na política AWSLakeFormationCrossAccountManager AWS gerenciada.

Os administradores do Data Lake precisam dessas mesmas permissões para conceder permissões entre contas, além da permissão AWS Resource Access Manager (AWS RAM) para permitir a concessão de permissões às organizações. Para obter mais informações, consulte Permissões de administrador do data lake.

O usuário administrador

Um diretor com permissões administrativas — por exemplo, com a política AdministratorAccess AWS gerenciada — tem permissões para conceder permissões do Lake Formation e criar administradores de data lake. Para negar a um usuário ou função o acesso às operações de administrador do Lake Formation, anexe ou adicione à sua política uma Deny declaração para API as operações do administrador.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "lakeformation:GetDataLakeSettings",
                "lakeformation:PutDataLakeSettings"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}