本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

联合事件数据存储

联合事件数据存储允许您在数据目录中查看与事件数据存储相关的元数据，向注册 AWS Glue 数据目录 AWS Lake Formation，并允许您使用 Amazon Athena 对事件数据运行SQL查询。存储在 AWS Glue 数据目录中的表元数据让 Athena 查询引擎知道如何查找、读取和处理您要查询的数据。

您可以使用 CloudTrail 控制台启用联合 AWS CLI、或 EnableFederationAPI操作。启用 Lake 查询联合后， CloudTrail将在 AWS Glue 数据目录中创建一个名为aws:cloudtrail（如果该数据库尚不存在）的托管数据库和一个托管联合表。事件数据存储 ID 用于表名。 CloudTrail 在中注册联合角色ARN和事件数据存储 AWS Lake Formation，该服务负责允许对 AWS Glue 数据目录中的联合资源进行精细的访问控制。

要启用 Lake 查询联合，必须创建新IAM角色或选择现有角色。Lake Formation 使用此角色管理联合事件数据存储的权限。使用 CloudTrail 控制台创建新角色时， CloudTrail 会自动为该角色创建所需的权限。如果您选择现有角色，请确保该角色提供最低权限。

您可以使用 CloudTrail 控制台禁用联合 AWS CLI、或 DisableFederationAPI操作。当您禁用联合身份验证时，会禁 CloudTrail用与 AWS Glue AWS Lake Formation、和 Amazon Athena 的集成。禁用 Lake 查询联合身份验证后，您将无法再在 Athena 中查询事件数据。禁用联合后，不会删除任何 CloudTrail Lake 数据，并且您可以继续在 CloudTrail Lake 中运行查询。

联合 L CloudTrail ake 事件数据存储不 CloudTrail 收取任何费用。在 Amazon Athena 中运行查询将会产生费用。有关 Athena 定价的更多信息，请参阅 Amazon Athena 定价。

注意事项

联合事件数据存储时，请考虑以下因素：

联合身份验证所需的权限

在联合事件数据存储之前，请确保您拥有联合身份验证角色以及启用和禁用联合身份验证所需的所有权限。仅当您选择现有角色来启用联合身份验证时，才需要更新联合IAM角色权限。如果您选择使用 CloudTrail 控制台创建新IAM角色，则为该角色 CloudTrail 提供所有必要的权限。

IAM联合事件数据存储的权限

启用联合身份验证后，您可以选择创建新IAM角色或使用现有IAM角色。当您选择新IAM角色时， CloudTrail 将创建一个具有所需权限的IAM角色，您无需采取任何进一步的操作。

如果您选择现有角色，请确保该IAM角色的策略提供启用联合所需的权限。本节提供了所需的IAM角色权限和信任策略的示例。

以下示例提供联合身份验证角色的权限策略。在第一条语句中，请提供完整ARN的事件数据存储空间Resource。

本政策的第二项声明允许 Lake Formation 解密使用密钥加密的事件数据存储的数据。KMSReplace（替换） key-region, account-id，以及 key-id 包含KMS密钥的值。如果您的事件数据存储不使用KMS密钥进行加密，则可以省略此语句。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "LakeFederationEDSDataAccess",
            "Effect": "Allow",
            "Action": "cloudtrail:GetEventDataStoreData",
            "Resource": "arn:aws:cloudtrail:eds-region:account-id:eventdatastore/eds-id"
        },
        {
          "Sid": "LakeFederationKMSDecryptAccess",
          "Effect": "Allow",
          "Action": [
              "kms:Decrypt",
              "kms:GenerateDataKey"
          ],
          "Resource": "arn:aws:kms:key-region:account-id:key/key-id"
      }
    ]
}

以下示例提供了IAM信任策略，该策略允许 AWS Lake Formation IAM扮演一个角色来管理联合事件数据存储的权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "lakeformation.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}                 

启用联合身份验证所需的权限

以下示例策略提供了在事件数据存储上启用联合身份验证所需的最低权限。此策略 CloudTrail 允许在事件数据存储上启用联合、 AWS Glue 在 AWS Glue 数据目录中创建联合资源以及 AWS Lake Formation 管理资源注册。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudTrailEnableFederation",
            "Effect": "Allow",
            "Action": "cloudtrail:EnableFederation",
            "Resource": "arn:aws:cloudtrail:region:account-id:eventdatastore/eds-id"
        },
        {
            "Sid": "FederationRoleAccess",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iam:GetRole"
            ],
            "Resource": "arn:aws:iam::region:role/federation-role-name"
        },
        {
            "Sid": "GlueResourceCreation",
            "Effect": "Allow",
            "Action": [
                "glue:CreateDatabase",
                "glue:CreateTable",
                "glue:PassConnection"
            ],
            "Resource": [
                "arn:aws:glue:region:account-id:catalog",
                "arn:aws:glue:region:account-id:database/aws:cloudtrail",
                "arn:aws:glue:region:account-id:table/aws:cloudtrail/eds-id",
                "arn:aws:glue:region:account-id:connection/aws:cloudtrail"
            ]
        },
        {
            "Sid": "LakeFormationRegistration",
            "Effect": "Allow",
            "Action": [
                "lakeformation:RegisterResource",
                "lakeformation:DeregisterResource"
            ],
            "Resource": "arn:aws:lakeformation:region:account-id:catalog:account-id"
        }
    ]
}

禁用联合身份验证所需的权限

以下示例策略提供了在事件数据存储上禁用联合身份验证所需的最低资源。此策略 CloudTrail 允许在事件数据存储上禁用联合， AWS Glue 删除 AWS Glue 数据目录中的托管联合表，以及 Lake Formation 取消注册联合资源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CloudTrailDisableFederation",
            "Effect": "Allow",
            "Action": "cloudtrail:DisableFederation",
            "Resource": "arn:aws:cloudtrail:region:account-id:eventdatastore/eds-id"
        },
        {
            "Sid": "GlueTableDeletion",
            "Effect": "Allow",
            "Action": "glue:DeleteTable",
            "Resource": [
                "arn:aws:glue:region:account-id:catalog",
                "arn:aws:glue:region:account-id:database/aws:cloudtrail",
                "arn:aws:glue:region:account-id:table/aws:cloudtrail/eds-id"
            ]
        },
        {
            "Sid": "LakeFormationDeregistration",
            "Effect": "Allow",
            "Action": "lakeformation:DeregisterResource",
            "Resource": "arn:aws:lakeformation:region:account-id:catalog:account-id"
        }
    ]
}