Usar uma identidade federada para gerenciar o acesso do Amazon Redshift aos recursos locais e às tabelas externas do Amazon Redshift Spectrum

Crie uma identidade do IAM. Isso pode ser um usuário ou um perfil do IAM. Use qualquer nome permitido pelo IAM.

Anexe políticas de permissões à identidade. Especifique um destes fatores:

É possível adicionar permissões com o editor de políticas por meio do console do IAM.

A identidade do IAM também precisa de permissões para acessar dados externos. Conceda acesso ao Amazon S3 adicionando diretamente as seguintes políticas gerenciadas da AWS:

A última política gerenciada será necessária se você estiver usando o AWS Glue para preparar os dados externos. Para obter mais informações sobre as etapas para conceder acesso ao Amazon Redshift Spectrum, consulte “Criar uma função do IAM para o Amazon Redshift”, que faz parte do guia de introdução do Amazon Redshift e do Redshift Spectrum. Ele mostra as etapas de adição de políticas do IAM para acessar o Redshift Spectrum.

Configure o cliente SQL para se conectar ao Amazon Redshift. Use o driver JDBC do Amazon Redshift e adicione as credenciais do usuário às propriedades de credencial da ferramenta. Um cliente como o SQL Workbench/J funciona bem para isso. Defina as seguintes propriedades estendidas de conexão do cliente:

Defina o URL como o endpoint JDBC encontrado no console do Amazon Redshift ou do Amazon Redshift Serverless. Substitua seu esquema de URL por jdbc:redshift:iam: e use esta formatação:

Depois de se conectar ao banco de dados pela primeira vez usando uma identidade do IAM, o Amazon Redshift cria automaticamente uma identidade do Amazon Redshift com o mesmo nome, com o prefixo IAM: para um usuário ou IAMR: para um perfil do IAM. As etapas restantes deste tópico mostram exemplos para um usuário.

Se um usuário do Redshift não for criado automaticamente, você poderá criar um executando uma instrução CREATE USER, usando uma conta de administrador e especificando o nome do usuário no formato IAM:<user name>.

Como administrador do cluster do Amazon Redshift, conceda ao usuário do Redshift as permissões necessárias para acessar o esquema externo.

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

Para permitir que o usuário do Redshift crie tabelas no esquema externo, ele deve ser proprietário do esquema. Por exemplo:

ALTER SCHEMA my_schema owner to "IAM:my_user";

Para verificar a configuração, execute uma consulta como usuário, usando o cliente SQL, depois que as permissões forem concedidas. Esse exemplo de consulta recupera dados de uma tabela externa.

SELECT * FROM my_schema.my_table;

Crie tabelas locais e externas. Tabelas externas catalogadas com o AWS Glue funcionam para isso.

Conecte-se ao Amazon Redshift com sua identidade do IAM. Conforme mencionado na seção anterior, quando a identidade se conecta ao Amazon Redshift, é criado um usuário de banco de dados do Redshift. O usuário é criado caso ainda não exista. Se o usuário for novo, o administrador deverá conceder a ele permissões para realizar tarefas no Amazon Redshift, como consultar e criar tabelas.

Conecte-se ao Redshift com sua conta de administrador. Execute o comando para criar um esquema externo usando o valor SESSION.

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

Observe que catalog_id está definido nesse caso. Essa é uma nova configuração adicionada com o recurso, pois SESSION substitui uma função específica.

Nesse exemplo, os valores na consulta imitam como os valores reais aparecem.

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

O valor catalog_id nesse caso é o ID da sua conta da AWS.

Execute consultas para acessar seus dados externos usando a identidade do IAM com a qual você se conectou na etapa 2. Por exemplo:

select * from spectrum_schema.table1;

Nesse caso, table1 pode ser, por exemplo, dados formatados em JSON em um arquivo, em um bucket do Amazon S3.

Se você já tem um esquema externo que usa um perfil do IAM anexado ao cluster, apontando para seu banco de dados ou esquema externo, é possível substituir o esquema existente e usar uma identidade federada, conforme detalhado nestas etapas, ou criar uma.