IAM授予或撤销 Lake Formation 权限所需的权限

所有委托人，包括数据湖管理员，都需要以下 AWS Identity and Access Management (IAM) 权限才能授予或撤销 Lake Formation 或 Lake Formation AWS Lake Formation 的数据目录权限API或数据位置权限： AWS CLI

对于非数据湖管理员且想要使用 Lake Formation 控制台授予或撤消权限的委托人，建议使用以下IAM策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "lakeformation:ListPermissions",
                "lakeformation:GrantPermissions",
                "lakeformation:BatchGrantPermissions",
                "lakeformation:RevokePermissions",
                "lakeformation:BatchRevokePermissions",
                "glue:GetDatabases",
                "glue:SearchTables",
                "glue:GetTables",
                "glue:GetDatabase",
                "glue:GetTable",
                "iam:ListUsers",
                "iam:ListRoles",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        }
    ]
}

此策略中的所有glue:和iam:权限都可在 AWS 托管策略中使用AWSGlueConsoleFullAccess。

要使用基于 Lake Formation 标签的访问控制 (LF-TBAC) 来授予权限，委托人需要额外的IAM权限。有关更多信息，请参阅Lake Formation 基于标签的访问控制最佳实践和注意事项 和Lake Formation 角色和IAM权限参考。

跨账户权限

想要使用指定资源方法授予跨账户 Lake Formation 权限的用户还必须拥有AWSLakeFormationCrossAccountManager AWS 托管策略中的权限。

数据湖管理员需要相同的权限才能授予跨账户权限，还需要有 AWS Resource Access Manager (AWS RAM) 权限才能允许向组织授予权限。有关更多信息，请参阅 数据湖管理员权限。

管理用户

具有管理权限（例如AdministratorAccess AWS 托管策略）的委托人有权授予 Lake Formation 权限和创建数据湖管理员。要拒绝用户或角色访问 Lake Formation 管理员操作，请在其策略中附加或添加管理员API操作Deny声明。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "lakeformation:GetDataLakeSettings",
                "lakeformation:PutDataLakeSettings"
            ],
            "Effect": "Deny",
            "Resource": [
                "*"
            ]
        }
    ]
}