基础数据访问控制

当集成 AWS 服务请求访问由控制的 Amazon S3 位置的数据时 AWS Lake Formation，Lake Formation 会提供访问数据的临时凭证。

要使 Lake Formation 能够控制对 Amazon S3 位置基础数据的访问，请向 Lake Formation 注册该位置。

注册 Amazon S3 位置后，您即可开始授予以下 Lake Formation 权限：

Lake Formation 数据位置权限可控制创建指向特定 Amazon S3 位置的数据目录资源的能力。数据位置权限为数据湖中的位置提供了一层额外的安全保护。当您向主体授予 CREATE_TABLE 或 ALTER 权限时，您还会授予数据位置权限，以限制主体可以为其创建或更改元数据表的位置。

Amazon S3 位置是存储桶下的存储桶或前缀，但不是单个 Amazon S3 对象。

您可以使用 Lake Formation 控制台、API 或 AWS CLI来向主体授予数据位置权限。授予的一般形式如下：

grant DATA_LOCATION_ACCESS to principal on S3 location [with grant option]

如果包含 with grant option，则被授权者可以向其他主体授予权限。

回想一下，Lake Formation 权限始终与 AWS Identity and Access Management (IAM) 权限结合使用，以实现精细的访问控制。对于基础 Amazon S3 数据的读/写权限，将按如下方式授予 IAM 权限：

注册位置时，您需要指定一个 IAM 角色来授予对该位置的读/写权限。Lake Formation 在为集成 AWS 服务提供临时证书时担任该角色。典型角色可能附加了以下策略，其中注册位置为存储桶 awsexamplebucket。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Lake Formation 提供了一个服务相关角色，您可以在注册期间使用该角色自动创建此类策略。有关更多信息，请参阅 在 Lake Formation 中使用服务相关角色。

因此，注册 Amazon S3 位置会授予对该位置所需的 IAM s3: 权限，其中这些权限由用于注册该位置的角色指定。

要获得基础数据的读/写访问权限，除了 Lake Formation 权限外，主体还需要以下 IAM 权限：

lakeformation:GetDataAccess

获得此权限后，Lake Formation 将授权访问数据的临时凭证请求。

此权限包含在 Lake Formation 角色和IAM权限参考中的建议策略中。

总而言之，要让 Lake Formation 主体能够通过由 Lake Formation 权限控制的访问权限读取和写入基础数据，请执行以下操作：

有关数据位置权限的更多信息

数据位置权限控制对数据目录数据库和表的创建和更新操作的结果。规则如下：

请考虑下图中所示的场景。

在此示意图中：

以下是用户 datalake_user 尝试在特定位置的特定数据库中创建目录表时的结果。

有关更多信息，请参阅下列内容：