教程：使用 Lake Formation 和 JDBC 配置 Okta 用户对 Athena 的联合访问

要使用 Okta，请导航到 Okta 开发人员注册页并创建一个免费的 Okta 试用账户。开发人员版服务是免费的，不超过 Okta 在 developer.okta.com/pricing 总指定的限制。

当您收到激活电子邮件时，请激活您的账户。

Okta 域名将被分配给您。保存域名以供参考。稍后，您可以在连接到 Athena 的 JDBC 字符串中使用域名 (<okta-idp-domain>）。

激活 Okta 账户后，以管理用户身份登录到指定的 Okta 域。

在左侧导航窗格中，选择 Directory（目录），然后选择 People（人员）。

选择 Add Person（添加人员）添加将通过 JDBC 驱动程序访问 Athena 的新用户。

在 Add Person（添加人员）对话框中，输入所需信息。

选择 Save and Add Another（保存并添加另一个）。

输入其他用户的信息。此示例添加了业务分析师用户 athena-ba-user@anycompany.com。

选择保存。

在 Okta 导航窗格中，选择 Directory（目录），然后选择 Groups（组）。

在 Groups（组）页面上，选择 Add Group（添加组）。

在 Add Group（添加组）对话框中，输入所需信息。

选择添加组。

在 Groups（组）页面上，再次选择 Add Group（添加组）。这一次，您将输入开发人员组的信息。

输入所需的信息。

选择添加组。

在 Groups（组）页面上，选择您刚创建的 lf-developer 组。您需要将您作为开发人员创建的 Okta 用户之一添加到此组中。

选择 Manage People（管理人员）。

从 Not Members（非成员）列表中，选择 athena-okta-user。

用户的条目将从左侧的非成员列表移动到右侧的成员列表。

选择保存。

选择 Back to Group（返回组），或选择 Directory（目录），然后选择 Groups（组）。

选择 lf-business-analyst 组。

选择 Manage People（管理人员）。

向 lf-business-analyst 组的 Members（成员）列表添加 athena-ba-user，然后选择 Save（保存）。

选择 Back to Group（返回组），或选择 Directory（目录），Groups（组）。

Groups（组）页面现在显示每个组都有一个 Okta 用户。

在 Okta 导航窗格中，选择 Applications（应用程序）、Applications（应用程序），以便您可以为对 Athena 进行的 SAML 身份验证配置 Okta 应用程序。

单击 Browse App Catalog（浏览应用程序目录）。

在搜索框中，输入 Redshift。

选择 Amazon Web Services Redshift。本教程中的 Okta 应用程序使用 Amazon Redshift 的现有 SAML 集成。

在 Amazon Web Services Redshift 页面上，选择 Add（添加）为 Amazon Redshift 创建基于 SAML 的应用程序。

对于 Application label（应用程序标签），输入 Athena-LakeFormation-Okta，然后选择 Done（完成）。

在 Applications（应用程序）页面上，选择 Athena-LakeFormation-Okta 应用程序。

在 Assignments（分配）选项卡上，选择 Assign（分配）、Assign to People（分配给人员）。

在 Assign Athena-LakeFormation-Okta to People（将 Assign Athena-LakeFormation-Okta 分配给人员）对话框中，找到您之前创建的 athena-okta-user 用户。

选择 Assign（分配）将用户分配给应用程序。

选择 Save and Go Back（保存并返回）。

选择完成。

在 Athena-LakeFormation-Okta 应用程序的 Assignments（分配）选项卡上，选择 Assign（分配）、Assign to Groups（分配给组）。

对于 lf-business-analyst，选择 Assign（分配）以将 Athena-LakeFormation-Okta 应用程序分配到 lf-business-analyst 组，然后选择Done（完成）。

该组将显示在应用程序的组列表中。

选择 Okta 应用程序的 Sign On（登录）选项卡，然后右键单击 Identity Provider metadata（身份提供程序元数据）。

选择 Save Link As（将链接另存为）以将身份提供程序元数据（XML 格式）保存到文件中。给它一个您可以识别的名称（例如，Athena-LakeFormation-idp-metadata.xml）。

以 Amazon Web Services 账户管理员身份登录 Amazon Web Services 账户控制台，并导航到 IAM 控制台（https://console.aws.amazon.com/iam/）。

在导航窗格中，选择 Identity providers（身份提供程序），然后单击 Add provider（添加提供程序）。

在 Define provider（定义提供程序）页面上，输入以下信息：

选择 Add provider（添加提供程序）。

在 IAM 控制台的导航窗格中，选择 Roles（角色），然后选择 Create role（创建角色）。

在 Create role（创建角色）页面上，执行以下步骤：

1. 对于 Select type of trusted entity（选择受信任实体的类型），选择 SAML 2.0 Federation。

2. 对于 SAML provider（SAML 提供程序），选择 AthenaLakeFormationOkta。

3. 对于 SAML provider（SAML 提供程序），选择选项 Allow programmatic and AWS Management Console access（允许编程和控制台访问）。

4. 选择下一步: 权限。

在 Attach Permissions policies（附加权限策略）页面，对于 Filter pilicies（筛选策略），输入 Athena。

选择名为 AmazonAthenaFullAccess 的托管式策略，然后选择 Next: Tags （下一步：标签）。

在 Add tags（添加标签）页面上，选择 Next: Review（下一步：审核）。

在 Review（审核）页面上，对于 Role name（角色名称），输入角色的名称（例如，Athena-LakeFormation-OktaRole），然后选择 Create role（创建角色）。

从 IAM 控制台中的角色列表中，选择新创建的 Athena-LakeFormation-OktaRole。

在角色的 Summary（摘要）页面上，在 Permissions（权限）选项卡上，选择 Add inline policy（添加内联策略）。

在创建策略页面上，选择 JSON。

添加一个内联策略，如下所示，该策略可提供访问 Lake Formation 和 AWS Glue API 的权限。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "lakeformation:GetDataAccess",
            "glue:GetTable",
            "glue:GetTables",
            "glue:GetDatabase",
            "glue:GetDatabases",
            "glue:CreateDatabase",
            "glue:GetUserDefinedFunction",
            "glue:GetUserDefinedFunctions"
        ],
        "Resource": "*"
    }
}

选择查看策略。

对于 Name（名称），请为策略输入名称（例如，LakeFormationGlueInlinePolicy）。

选择创建策略。

在 Athena-LakeFormation-OktaRole 角色的 Summary（摘要）页面上，在 Permissions（权限）选项卡上，选择 Add inline policy（添加内联策略）。

在创建策略页面上，选择 JSON。

添加允许角色访问 Athena 查询结果位置的内联策略，如下所示。将示例中的 <athena-query-results-bucket> 占位符替换为您的 Amazon S3 存储桶的名称。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AthenaQueryResultsPermissionsForS3",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:PutObject",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::<athena-query-results-bucket>",
                "arn:aws:s3:::<athena-query-results-bucket>/*"
            ]
        }
    ]
}

选择查看策略。

对于 Name（名称），请为策略输入名称（例如，AthenaQueryResultsInlinePolicy）。

选择创建策略。

在 IAM 控制台中，在 Athena-LakeFormation-OktaRole 角色的 Summary（摘要）页面中，选择 Role ARN（角色 ARN）旁的 Copy to clipboard（复制到剪贴板）图标。ARN 有以下格式：

arn:aws:iam::<account-id>:role/Athena-LakeFormation-OktaRole

安全地保存完整 ARN 以供日后参考。

在 IAM 控制台导航窗格中，选择 Identity providers（身份提供程序）。

选择 AthenaLakeFormationOkta 提供程序。

在 Summary（摘要）页面上，选择 Provider ARN（提供程序 ARN）旁的 Copy to clipboard（复制到剪贴板）图标。ARN 应如下所示：

arn:aws:iam::<account-id>:saml-provider/AthenaLakeFormationOkta

安全地保存完整 ARN 以供日后参考。

登录 Okta 开发人员控制台。

在 Applications（应用程序）选项卡上，然后选择 Athena-LakeFormation-Okta 应用程序。

选择应用程序的 Sign On（登录）选项卡，然后选择 Edit（编辑）。

选择 Attributes (optional)（属性（可选））来扩展它。

对于 Attribute Statements (optional)（属性语句（可选）），添加以下属性：

在 Group Attribute Statements (optional)（组属性语句（可选））项下，添加以下属性：

向下滚动到 Advanced Sign-On Settings（高级登录设置）部分，您将在其中将身份提供程序和 IAM 角色 ARN 添加到 Okta 应用程序。

对于 Idp ARN 和角色 ARN，输入 AWS 身份提供程序 ARN 和角色 ARN，作为逗号分隔的值，格式为 <saml-arn>、<role-arn>。完成字符串应与以下内容类似：

arn:aws:iam::<account-id>:saml-provider/AthenaLakeFormationOkta,arn:aws:iam::<account-id>:role/Athena-LakeFormation-OktaRole

选择保存。

选择 Okta 应用程序的 General（常规）选项卡。

向下滚动到 App Embed Link（应用程序嵌入链接）部分。

从 Embed Link（嵌入链接），复制并安全地保存 URL 的 Okta 应用程序 ID 部分。Okta 应用程序 ID 是 amazon_aws_redshift/ 之后的 URL 部分内容，但在下一个正斜杠之前。例如，如果 URL 包含 amazon_aws_redshift/aaa/bbb，则应用程序 ID 为 aaa。

以数据湖管理员身份登录 AWS Management Console。

打开 Lake Formation 控制台，网址为 https://console.aws.amazon.com/lakeformation/。

从导航窗格中，选择 Tables（表），然后选择您要授予权限的表。本教程使用 tripdb 数据库中的 nyctaxi 表。

从 Actions（操作）中，选择 Grant（授权）。

在 Grant permissions（授予权限）对话框中，输入以下信息：

1. 在 SAML and Amazon QuickSight users and groups（SAML 和 Amazon QuickSight 用户和组）下，按以下格式输入 Okta SAML 用户 ARN：

   arn:aws:iam::<account-id>:saml-provider/AthenaLakeFormationOkta:user/<athena-okta-user>@<anycompany.com>       

2. 对于 Columns（列），对于 Choose filter type（选择筛选条件类型），然后选择 Include columns（包括列）或者 Exclude columns（排除列）。

3. 使用筛选条件下的 Choose one or more columns（选择一个或多个列）下拉列表指定要包含或排除的用户的列。

4. 对于 Table permissions（表权限），选择 Select（选择）。本教程仅授予 SELECT 权限；您的要求可能会有所不同。

   

选择 Grant（授权）。

在 Lake Formation 控制台的 Tables（表）页面，请确保仍选择了 nyctaxi表。

从 Actions（操作）中，选择 Grant（授权）。

在 Grant permissions（授予权限）对话框中，输入以下信息：

1. 在 SAML and Amazon QuickSight users and groups（SAML 和 Amazon QuickSight 用户和组）下，按以下格式输入 Okta SAML 组 ARN：

   arn:aws:iam::<account-id>:saml-provider/AthenaLakeFormationOkta:group/lf-business-analyst

2. 对于 Columns（列）、Choose filter type（选择筛选条件类型）中，选择 Include columns（包括列）。

3. 对于 Choose one or more columns（选择一个或多个列），选择表的前三列。

4. 对于 Table permissions（表权限），选择要授予的特定访问权限。本教程仅授予 SELECT 权限；您的要求可能会有所不同。

   

选择 Grant（授权）。

要验证您授予的权限，请选择 Actions（操作）、View permissions（查看权限）。

nyctaxi 表的 Data permissions（数据权限）页面上显示了 athena-okta-user 和 lf-business-analyst 组的权限。

从 通过 JDBC 连接到 Amazon Athena 下载并提取 Lake Formation 兼容 Athena JDBC 驱动程序（2.0.14 或更高版本）。

下载并安装免费的 SQL Workbench/J SQL 查询工具，在已修改的 Apache 2.0 许可证下可用。

在 SQL Workbench 中，选择 File（文件），然后选择 Manage Drivers（管理驱动程序）。

在 Manage Drivers（管理驱动程序）对话框中，执行以下步骤：

1. 选择新驱动程序图标。

2. 对于名称，请输入 Athena。

3. 对于 Library（库），浏览并选择您刚下载的 Simba Athena JDBC .jar 文件。

4. 选择 确定。

   

选择 File（文件）、Connect window（连接窗口）。

在 Connection profile（连接配置文件）对话框中，通过输入以下信息创建连接：

下图显示了使用连接 URL 的 SQL Workbench 连接配置文件。

选择 Test（测试），然后验证连接是否成功。

从 SQL Workbench 的 Statement（语句）窗口中，运行以下 SQL DESCRIBE 命令。验证是否显示了所有列。

DESCRIBE "tripdb"."nyctaxi"

从 SQL Workbench 的 Statement（语句）窗口中，运行以下 SQL SELECT 命令。验证是否显示了所有列。

SELECT * FROM tripdb.nyctaxi LIMIT 5

在 SQL Workbench 中的 Connection profile（连接配置文件）对话框中，创建另一个连接配置文件。

选择 Test（测试）以确认连接是否成功。

从 SQL Statement（SQL 语句）窗口中，如您之前的操作那样运行相同的 DESCRIBE 和 SELECT SQL 命令并检查结果。

由于 athena-ba-user 是 lf-business-analyst 组中的成员，将仅返回您在 Lake Formation 控制台中指定的前三列。

以分配的 Okta 域的管理用户身份登录到 Okta 控制台。

选择 Directory（目录），然后选择 Groups（组）。

在组页面上，选择 lf-developer 组中。

选择 Manage People（管理人员）。

从 Not Members（非成员）列表中，选择 athena-ba-user，以将其添加到 lf-developer group（lf-developer 组）。

选择保存。

以数据湖管理员身份登录 Lake Formation 控制台。

在导航窗格中，选择表。

选择 nyctaxi 表。

选择 Actions（操作）、Grant（授权）。

在 Grant Permissions（授予权限）对话框中，输入以下信息：

选择 Grant（授权）。

关闭 SQL Workbench 程序，然后重新打开。

连接到 athena-ba-user 的配置文件。

从 Statement（语句）窗口中，发布与之前运行的相同 SQL 语句：

这一次，将显示 trip_type 列。

由于 athena-ba-user 现在同时是 lf-developer 和 lf-business-analyst 组中的成员，这些组的 Lake Formation 权限组合将决定返回的列。