View a markdown version of this page

在 Security Lake 中创建具有查询权限的订阅者 - Amazon Security Lake
设置跨账户表共享（订阅用户步骤）

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Security Lake 中创建具有查询权限的订阅者

选择您的首选方法来创建当前具有查询访问权限的订阅者 AWS 区域。订阅者只能从中 AWS 区域 创建的数据中查询数据。要创建订阅者，您需要拥有订阅者的 AWS 账户 ID 和外部 ID。外部 ID 是订阅用户提供给您的唯一标识符。有关外部 ID 的更多信息，请参阅 IAM 用户指南中的如何在向第三方授予 AWS 资源访问权限时使用外部 ID 。

注意

Security Lake 不支持 Lake Formation 跨账户数据共享版本 1。您必须将 Lake Formation 跨账户数据共享更新到版本 2 或版本 3。有关通过 AWS Lake Formation 控制台或 AWS CLI 更新跨账户版本设置的步骤，请参阅AWS Lake Formation 开发者指南中的启用新版本。

Console

  1. 在以下位置打开 Security Lake 控制台https://console.aws.amazon.com/securitylake/。

    登录委托管理员账户。

  2. 使用页面右上角的 AWS 区域 选择器，选择要创建订阅者的区域。

  3. 在导航窗格中选择订阅用户。

  4. 在订阅用户页面上，选择创建订阅用户。

  5. 对于订阅用户详细信息，请输入订阅用户名称和可选描述。

    该区域将按您当前的选择自动填充 AWS 区域 ，无法修改。

  6. 对于日志和事件源，请选择您希望 Security Lake 在返回查询结果时包含哪些来源。

  7. 对于数据访问方法，请选择 Lake Formation，以便为订阅用户创建查询访问权限。

  8. 对于订阅者凭证，请提供订阅者的 AWS 账户 ID 和外部 ID 。

  9. （可选）对于标签，最多输入 50 个要分配给订阅用户的标签。

    标签是您可以定义和分配给某些类型的 AWS 资源的标签。每个标签都包含一个必需的标签键和一个可选的标签值。标签可以帮助您以不同的方式识别、分类和管理各种资源。要了解更多信息，请参阅为安全湖资源添加标签。

  10. 选择创建。

API

要以编程方式创建具有查询访问权限的订阅者，请使用 Security Lake API 的CreateSubscriber操作。如果你使用的是 AWS Command Line Interface (AWS CLI)，请运行 create-subscribser 命令。

在您的请求中，使用这些参数为订阅者指定以下设置：

  • 对于 accessTypes，请指定 LAKEFORMATION。

  • 对于 sources，请指定您希望 Security Lake 在返回查询结果时包含的每个来源。

  • 对于subscriberIdentity，指定订阅者用于查询源数据的 AWS 身份和外部 ID。

以下示例在当前 AWS 区域为指定订户身份创建了具有查询访问权限的订阅者。此示例是针对 Linux、macOS 或 Unix 进行格式化的，它使用反斜杠（\）行继续符来提高可读性。

$ aws securitylake create-subscriber \ 
--subscriber-identity {"accountID": 129345678912,"externalId": 123456789012} \
--sources [{"awsLogSource": {"sourceName": VPC_FLOW, "sourceVersion": 2.0}}] \
--subscriber-name subscriber name \
--access-types LAKEFORMATION

设置跨账户表共享（订阅用户步骤）

Security Lake 使用 Lake Formation 跨账户表共享来支持订阅用户的查询访问权限。当您在 Security Lake 控制台、API 或中创建具有查询访问权限的订阅者时 AWS CLI，Security Lake 通过在 AWS Resource Access Manager (AWS RAM) 中创建资源共享与订阅者共享有关相关 Lake Formation 表的信息。

当您对具有查询访问权限的订阅用户进行某些类型的编辑时，Security Lake 会创建一个新的资源共享。有关更多信息，请参阅 在 Security Lake 中编辑具有查询权限的订阅者。

订阅用户应按照以下步骤使用您的 Lake Formation 表中的数据：

  1. 接受资源共享 – 订阅用户必须接受在您创建或编辑订阅用户时生成的 resourceShareArn 和 resourceShareName 资源共享。选择以下访问方法之一：

    资源共享邀请会在 12 小时后过期，因此您必须在 12 小时内验证并接受邀请。如果邀请过期，您会看到它处于 PENDING 状态，但此时即使您接受邀请也无法访问共享资源。超过 12 小时后，请删除 Lake Formation 订阅用户并重新创建订阅用户，以获得新的资源共享邀请。

  2. 创建共享数据库的资源链接 -订阅者必须在（如果使用控制台）或 AWS Lake Formation AWS Glue （如果使用 API/AWS CLI）中创建指向共享 Lake Formation 数据库的资源链接。此资源链接将订阅者的账户指向共享数据库。选择以下访问方法之一：

  3. 查询共享表 – Amazon Athena 等服务可以直接引用这些表，而 Security Lake 收集的新数据将自动可供查询。查询在订阅者中运行 AWS 账户，查询产生的费用向订阅者收费。您可以在自己的 Security Lake 账户中控制对资源的读取权限。

有关授予跨账户权限的更多信息，请参阅《AWS Lake Formation 开发者指南》中 Lake Formation 中的Cross-account 数据共享。