本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

授予跨帳戶存取權

跨帳戶授予 Data Catalog 資源存取權可讓您的擷取、轉換和載入 (ETL) 任務查詢和聯結來自不同帳戶的資料。

在 AWS Glue 中授予跨帳戶存取的方法

您可以使用AWS Glue方法或使用 AWS Lake Formation 跨 AWS 帳戶授權，將資料的存取權授予外部帳戶。這些AWS Glue方法使用 AWS Identity and Access Management (IAM) 政策實現精細的存取控制。Lake Formation 使用更簡單的 GRANT/REVOKE 許可模型，類似於關聯式資料庫系統中的 GRANT/REVOKE 命令。

本節說明如何使用 AWS Glue 方法。如需使用 Lake Formation 跨帳戶授予的詳細資訊，請參閱AWS Lake Formation 開發人員指南中的授予 Lake Formation 許可。

有兩個 AWS Glue 方法可授予資源的跨帳戶存取權：

使用資源政策授予跨帳戶存取

以下是使用 Data Catalog 資源政策授予跨帳戶存取權的一般步驟：

使用 IAM 角色授予跨帳戶存取權

以下是使用 IAM 角色授予跨帳戶存取權的一般步驟：

如需有關使用 IAM 來委派許可的詳細資訊，請參閱《IAM 使用者指南》中的存取管理。如需使用者、群組、角色和許可的相關資訊，請參閱《IAM 使用者指南》中的身分 (使用者、群組和角色)。

有關這兩種方法的比較資料，請參閱《IAM 使用者指南》中的 IAM 角色與資源型政策有何差異。AWS Glue 支援這兩個選項，但限制是資源政策只能授予 Data Catalog 資源存取權。

例如，若要讓帳戶 B 的 Dev 角色存取帳戶 A 的 db1 資料庫，請將下列資源政策連接到帳戶 A 的目錄。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "glue:GetDatabase"
      ],
      "Principal": {"AWS": [
        "arn:aws:iam::account-B-id:role/Dev"
      ]},
      "Resource": [
        "arn:aws:glue:us-east-1:account-A-id:catalog",      
        "arn:aws:glue:us-east-1:account-A-id:database/db1"
      ]
    }
  ]
}

此外，帳戶 B 還必須先將下列 IAM 政策連接至 Dev 角色，他才能真正存取帳戶 A 的 db1。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "glue:GetDatabase"
      ],
      "Resource": [
        "arn:aws:glue:us-east-1:account-A-id:catalog",      
        "arn:aws:glue:us-east-1:account-A-id:database/db1"
      ]
    }
  ]
}

新增或更新 Data Catalog 資源政策

您可以使用主控台、API 或 AWS Command Line Interface (AWS CLI) 新增或更新資AWS Glue料目錄資源策略。

發起跨帳戶 API 呼叫

所有 AWS Glue Data Catalog 操作都會有 CatalogId 欄位。如已授予啟用跨帳戶存取的必要許可，發起人即可跨帳戶發起 Data Catalog API 呼叫。發起人可在 CatalogId 中傳遞目標 AWS 帳戶 ID 來執行此操作，以便存取該目標帳戶中的資源。

如果未提供任何 CatalogId 值，則根據預設，AWS Glue 會使用發起人的專屬帳戶 ID，而且呼叫未跨帳戶。

發起跨帳戶 ETL 呼叫

一些AWS Glue PySpark 和斯卡拉 API 有一個目錄 ID 字段。如果已授與所有必要權限來啟用跨帳戶存取，則 ETL 工作可以透過在目錄 ID 欄位中傳遞目標帳 AWS 戶 ID 以存取目標帳戶中的資料目錄資源，來跨帳戶對 API 作業進行 PySpark 和 Scala 呼叫。

如果未提供任何目錄 ID 值，則根據預設，AWS Glue 會使用發起人的專屬帳戶 ID，而且呼叫未跨帳戶。

如需支援的 PySpark APIcatalog_id，請參閱GlueContext 類。如需支援 catalogId 的 Scala API，請參閱 AWS Glue斯卡 GlueContext 拉。

下列範例顯示承授者執行 ETL 任務所需的許可。在此範例中，grantee-account-id是執行作業catalog-id的用戶端，並且grantor-account-id是資源的擁有者。此範例會授予授予者帳戶中所有目錄資源的許可。若要限制所授予資源的範圍，您可以提供目錄、資料庫、資料表和連線的特定 ARN。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:GetConnection",
                "glue:GetDatabase",
                "glue:GetTable",
                "glue:GetPartition" 
            ],
            "Principal": {"AWS": ["arn:aws:iam::grantee-account-id:root"]},
            "Resource": [
                "arn:aws:glue:us-east-1:grantor-account-id:*"
            ]
        }
    ]
}

如果帳戶 A 的用戶端已具備建立和執行 ETL 任務的許可，則設定跨帳戶存取權 ETL 任務的基本步驟如下：

跨帳戶 CloudTrail 記錄

當AWS Glue擷取、轉換和載入 (ETL) 工作存取透過 AWS Lake Formation 跨帳戶授權共用之「資料目錄」資料表的基礎資料時，會有其他 AWS CloudTrail 記錄行為。

為了進行此討論，共用資料表的 AWS 帳戶是擁有者帳戶，而共用資料表的帳戶是收件者帳戶。當收件者帳戶中的 ETL 工作存取擁有者帳戶中資料表中的資料時，新增至收件者帳戶記錄檔的資料存取 CloudTrail 事件會複製到擁有者帳戶的 CloudTrail 記錄檔。如此一來，擁有者帳戶可以追蹤各種收件者帳戶的資料存取。依預設， CloudTrail 事件不包含人類可讀的主參與者識別元 (主體 ARN)。收件者帳戶中的系統管理員可以選擇加入，在記錄中包含主體 ARN。

如需詳細資訊，請參閱AWS Lake Formation 開發人員指南中的跨帳戶 CloudTrail記錄。

跨帳戶資源所有權和帳單

當一個 AWS 帳號中的使用者 (帳戶 A) 建立新資源 (例如在不同帳號 B) 中的資料庫時，該資源便會由建立該資源的帳號 B 所擁有。帳戶 B 中的管理員會自動取得存取新資源的完整許可 (包含讀取、寫入以及授予第三個帳戶的存取許可)。只有在帳戶 A 中的使用者具備帳戶 B 所授予的適當許可時，才能存取他們剛剛所建立的資源。

儲存成本以及與新資源直接建立關聯的其他成本都會計費到帳戶 B (資源擁有者)。來自建立資源之使用者的要求成本會計費到申請者帳戶 (帳戶 A)。

如需AWS Glue計費和定價的詳細資訊，請參閱定 AWS 價方式。

跨帳戶存取限制

AWS Glue 跨帳戶存取的限制如下：