View a markdown version of this page

为创建工作流任务角色 AWS Entity Resolution 数据匹配服务 - AWS Entity Resolution 数据匹配服务

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为创建工作流任务角色 AWS Entity Resolution 数据匹配服务

AWS Entity Resolution 数据匹配服务 使用工作流作业角色来运行工作流程。如果您具有必要的 IAM 权限，则可以使用控制台创建此角色。如果您没有CreateRole权限，请要求管理员创建该角色。

为创建工作流作业角色 AWS Entity Resolution 数据匹配服务

  1. 使用您的管理员账户登录 IAM 控制台。 https://console.aws.amazon.com/iam/

  2. 在 Access management（访问管理）下，请选择 Roles（角色）。

    您可以使用角色创建短期证书，建议使用此方法来提高安全性。您也可以选择用户来创建长期凭证。

  3. 选择创建角色。

  4. 在创建角色向导中，对于可信实体类型，选择自定义信任策略。

  5. 将以下自定义信任策略复制粘贴到 JSON 编辑器中。

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "entityresolution.amazonaws.com"
                ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  6. 选择下一步。

  7. 对于 “添加权限”，选择 “创建策略” 。

    此时会出现一个新选项卡。

    1. 将以下策略复制并粘贴到 JSON 编辑器中。

      注意

      以下示例策略支持读取相应数据资源（如 Amazon S3 和）所需的权限 AWS Glue。但是，您可能需要修改此政策，具体取决于您设置数据源的方式。

      您可以使用 AWS 商业分区中任何区域的 AWS Glue 资源和底层 Amazon S3 资源——它们不必位于同一区域 AWS Entity Resolution 数据匹配服务。 AWS Glue

      如果您的数据源未加密或解密，则无需授予 AWS KMS 权限。

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::{{input-buckets}}",
                "arn:aws:s3:::{{input-buckets}}/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "444455556666"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::{{output-bucket}}",
                "arn:aws:s3:::{{output-bucket}}/*"
            ],
            "Condition": {
                "StringEquals": {
                    "s3:ResourceAccount": [
                        "444455556666"
                    ]
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetTable",
                "glue:GetPartition",
                "glue:GetPartitions",
                "glue:GetSchema",
                "glue:GetSchemaVersion",
                "glue:BatchGetPartition"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:444455556666:database/{{input-databases}}",
                "arn:aws:glue:us-east-1:444455556666:table/{{input-database}}/{{input-tables}}",
                "arn:aws:glue:us-east-1:444455556666:catalog"
            ]
        }
    ]
}

      将每个 {{user input placeholder}} 替换为您自己的信息。

      aws-region AWS 区域 你的资源。在支持这些服务 AWS 区域 的情况下 AWS Glue，您可以使用 Amazon S3 和来自任何商用 AWS KMS 资源的资源。
      &ExampleAWSAccountNo1; 你的 AWS 账户 身份证。
      input-buckets 包含底层数据对象的 Amazon S3 存储桶，AWS Entity Resolution 数据匹配服务将 AWS Glue 从中读取。
      output-buckets Amazon S3 存储桶AWS Entity Resolution 数据匹配服务将在其中生成输出数据。
      input-databases AWS Glue 数据库AWS Entity Resolution 数据匹配服务将从哪里读取。

    2. （可选）如果输入的 Amazon S3 存储桶是使用客户的 KMS 密钥加密的，请添加以下内容：

              {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:{{aws-region}}:{{&ExampleAWSAccountNo1;}}:key/{{inputKeys}}"
            ]
        }

      将每个 {{user input placeholder}} 替换为您自己的信息。

      aws-region AWS 区域 你的资源。在支持这些服务 AWS 区域 的情况下 AWS Glue，您可以使用 Amazon S3 和来自任何商用 AWS KMS 资源的资源。
      &ExampleAWSAccountNo1; 你的 AWS 账户 身份证。
      inputKeys 中的托管密钥 AWS Key Management Service。如果您的输入源已加密，则AWS Entity Resolution 数据匹配服务必须使用密钥解密数据。

    3. （可选）如果需要对写入输出 Amazon S3 存储桶的数据进行加密，请添加以下内容：

              {
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Encrypt"
            ],
            "Resource": [
                "arn:aws:kms:{{aws-region}}:{{&ExampleAWSAccountNo1;}}:key/{{outputKeys}}"
            ]
        }

      将每个 {{user input placeholder}} 替换为您自己的信息。

      aws-region AWS 区域 你的资源。在支持这些服务 AWS 区域 的情况下 AWS Glue，您可以使用 Amazon S3 和来自任何商用 AWS KMS 资源的资源。
      &ExampleAWSAccountNo1; 你的 AWS 账户 身份证。
      outputKeys 中的托管密钥 AWS Key Management Service。如果您需要对输出源进行加密，则AWS Entity Resolution 数据匹配服务必须使用密钥对输出数据进行加密。

    4. （可选）如果您订阅了提供商服务 AWS Data Exchange，并希望将现有角色用于基于提供商服务的工作流程，请添加以下内容：

              {
            "Effect": "Allow",
            "Sid": "DataExchangePermissions",
            "Action": "dataexchange:SendApiAsset",
            "Resource": [
                "arn:aws:dataexchange:{{aws-region}}::data-sets/{{datasetId}}/revisions/{{revisionId}}/assets/{{assetId}}"
            ]
        }

      将每个 {{user input placeholder}} 替换为您自己的信息。

      aws-region 提供者资源的授予 AWS 区域 地点。你可以在 AWS Data Exchange 控制台的资产 ARN 中找到这个值。例如：arn:aws:dataexchange:us-east-2::data-sets/111122223333/revisions/339ffc64444examplef3bc15cf0b2346b/assets/546468b8dexamplea37bfc73b8f79fefa
      datasetId 数据集的 ID，在 AWS Data Exchange 控制台上找到。
      revisionId 数据集的修订版，可在 AWS Data Exchange 控制台上找到。
      assetId 资产的 ID，在 AWS Data Exchange 控制台上找到。

  8. 返回您的原始选项卡，在 “添加权限” 下，输入您刚刚创建的策略的名称。（您可能需要重新加载页面。）

  9. 选中您创建的策略名称旁边的复选框，然后选择下一步。

  10. 对于命名、查看和创建，输入角色名称和描述。

    注意

    角色名称必须与授予能够通过创建匹配工作流程的成员的passRoleworkflow job role权限模式相匹配。

    例如，如果您使用AWSEntityResolutionConsoleFullAccess托管策略，请记住在角色名称entityresolution中包含内容。

    1. 查看选择受信任的实体，并在必要时进行编辑。

    2. 在添加权限中查看权限，并在必要时进行编辑。

    3. 查看标签，并在必要时添加标签。

    4. 选择创建角色。

的工作流作业角色 AWS Entity Resolution 数据匹配服务 已创建。