使用联合身份管理 Amazon Redshift 对本地资源和 Amazon Redshift Spectrum 外部表的访问权限

创建一个 IAM 身份。这可以是用户或 IAM 角色。使用 IAM 支持的任何名称。

将权限策略附加到此身份。指定以下任一项：

您可以使用 IAM 控制台通过策略编辑器添加权限。

IAM 身份还需要对外部数据的访问权限。通过直接添加以下 AWS 托管式策略，授予对 Amazon S3 的访问权限：

如果您使用 AWS Glue 准备外部数据，则需要最后一个托管式策略。有关授予对 Amazon Redshift Spectrum 的访问权限的步骤的更多信息，请参阅为 Amazon Redshift 创建 IAM 角色，它是 Amazon Redshift 和 Redshift Spectrum 入门指南的一部分。此部分介绍了添加 IAM 策略以访问 Redshift Spectrum 的步骤。

设置 SQL 客户端以连接到 Amazon Redshift。使用 Amazon Redshift JDBC 驱动程序，并将用户的凭证添加到此工具的凭证属性中。像 SQL Workbench/J 这样的客户端非常适合执行此操作。设置以下客户端连接扩展属性：

将 URL 设置为在 Amazon Redshift 或 Amazon Redshift Serverless 控制台中找到的 JDBC 端点。将 URL 架构替换为 jdbc:redshift:iam: 并使用此格式：

在您首次使用 IAM 身份连接到数据库后，Amazon Redshift 会自动创建一个同名 Amazon Redshift 身份，其前缀为 IAM:（对于用户）或 IAMR:（对于 IAM 角色）。本主题中的剩余步骤展示了适用于用户的示例。

如果未自动创建 Redshift 用户，您可以通过以下方式创建一个此类用户：运行 CREATE USER 语句、使用管理员账户并以格式 IAM:<user name> 指定用户名。

作为 Amazon Redshift 集群管理员，向 Redshift 用户授予访问外部架构所需的权限。

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

要使 Redshift 用户能够在外部架构中创建表，他们必须是架构所有者。例如：

ALTER SCHEMA my_schema owner to "IAM:my_user";

要验证配置，请在授予权限后，使用 SQL 客户端以用户身份运行查询。此查询示例从外部表中检索数据。

SELECT * FROM my_schema.my_table;

创建本地表和外部表。使用 AWS Glue 编写目录的外部表适合此操作。

使用 IAM 身份连接到 Amazon Redshift。如上一节中所述，在身份连接到 Amazon Redshift 时，将创建一个 Redshift 数据库用户。如果用户以前不存在，则将创建该用户。如果用户是新用户，则管理员必须向其授予在 Amazon Redshift 中执行任务（例如查询和创建表）的权限。

使用管理员账户连接到 Redshift。运行该命令以使用 SESSION 值创建外部架构。

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

请注意，在此示例中，将设置 catalog_id。这是随功能一起添加的新设置，因为 SESSION 替换了特定角色。

在此示例中，查询中的值将模仿实际值的显示方式。

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

在此情况下，catalog_id 值是您的 AWS 账户 ID。

使用您在步骤 2 中连接的 IAM 身份运行查询以访问外部数据。例如：

select * from spectrum_schema.table1;

例如，在此情况下，table1 可以是 Amazon S3 存储桶中某个文件中的采用 JSON 格式的数据。

如果您已有一个使用集群附加的 IAM 角色的外部架构并指向您的外部数据库或架构，则可以替换现有架构并使用联合身份（如这些步骤中所述），也可以创建一个新的架构。