指定AWS Glue資源 ARNs

在中AWS Glue，您可以使用 AWS Identity and Access Management (IAM) 策略來控制對資源的存取。在政策中，您可以使用 Amazon 資源名稱 (ARN) 來識別該政策適用的資源。並非所有資源都在AWS Glue支援中ARNs。

資料目錄 ARNs

Data Catalog 資源擁有階層結構，以 catalog 為根。

arn:aws:glue:region:account-id:catalog

每個 AWS 帳戶在 AWS 區域中都有一個資料目錄，其中 12 位數的帳戶 ID 做為目錄 ID。資源與其ARNs相關聯具有唯一性，如下表所示。

若要啟用精細的存取控制，您可以在IAM原則和資源原則ARNs中使用這些存取權限，以授與和拒絕特定資源的存取權。政策中允許萬用字元。例如，以下內容ARN匹配數據庫中的所有表default。

arn:aws:glue:us-east-1:123456789012:table/default/*

{
   "Sid": "GrantCreatePartitions",
   "Effect": "Allow",
   "Action": [
       "glue:BatchCreatePartitions"
   ],
   "Resource": [
       "arn:aws:glue:us-east-1:123456789012:table/PrivateDatabase/PrivateTable",
       "arn:aws:glue:us-east-1:123456789012:database/PrivateDatabase",
       "arn:aws:glue:us-east-1:123456789012:catalog"
   ]
}

{
   "Sid": "GrantDeleteDatabase",
   "Effect": "Allow",
   "Action": [
       "glue:DeleteDatabase"
   ],
   "Resource": [
       "arn:aws:glue:us-east-1:123456789012:table/PrivateDatabase/*",
       "arn:aws:glue:us-east-1:123456789012:userDefinedFunction/PrivateDatabase/*",
       "arn:aws:glue:us-east-1:123456789012:database/PrivateDatabase",
       "arn:aws:glue:us-east-1:123456789012:catalog"
   ]
}

ARNs針對非目錄物件 AWS Glue

某些AWS Glue資源允許資源層級權限使用. ARN 您可以在IAM原則ARNs中使用這些功能來啟用精細的存取控制。下表列出了可以包含資源的資源ARNs。

AWS Glue非目錄單API一作業的存取控制

AWS Glue非目錄單一API作業作用於單一項目 (開發端點)。範例包括 GetDevEndpoint、CreateUpdateDevEndpoint 和 UpdateDevEndpoint。對於這些操作，策略必須將API名稱放在"action"塊中，並將資源放ARN在"resource"塊中。

假設您想要允許使用者呼叫 GetDevEndpoint 操作。下列政策會將最低必要許可授予名為 myDevEndpoint-1 的端點。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "MinimumPermissions",
            "Effect": "Allow",
            "Action": "glue:GetDevEndpoint",
            "Resource": "arn:aws:glue:us-east-1:123456789012:devEndpoint/myDevEndpoint-1"
        }
    ]
}

以下政策允許 UpdateDevEndpoint 使用萬用字元 (*) 存取符合 myDevEndpoint- 的資源。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "PermissionWithWildcard",
            "Effect": "Allow",
            "Action": "glue:UpdateDevEndpoint",
            "Resource": "arn:aws:glue:us-east-1:123456789012:devEndpoint/myDevEndpoint-*"
        }
    ]
}

您可以結合兩個政策，如下範例所示。您可以查看 EntityNotFoundException 以取得名稱開頭為 A 的任何開發端點。不過，當您嘗試存取其他開發端點時會傳回拒絕存取錯誤。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CombinedPermissions",
            "Effect": "Allow",
            "Action": [
                "glue:UpdateDevEndpoint",
                "glue:GetDevEndpoint"
            ],
            "Resource": "arn:aws:glue:us-east-1:123456789012:devEndpoint/A*"
        }
    ]
}

擷取多個項目之AWS Glue非目錄API作業的存取控制

某些AWS GlueAPI作業會擷取多個項目 (例如多個開發端點)；例如，GetDevEndpoints。對於此作業，您只能指定萬用字元 (*) 資源，而不能指定特定資源ARNs。

例如，若要在政策中包含 GetDevEndpoints，資源範圍必須以萬用字元 (*) 放大。單數操作 (GetDevEndpoint、CreateDevEndpoint 和 DeleteDevendpoint) 也會將範圍限制為範例中的所有 (*) 資源。

{
            "Sid": "PluralAPIIncluded",
            "Effect": "Allow",
            "Action": [
                "glue:GetDevEndpoints",
                "glue:GetDevEndpoint",
                "glue:CreateDevEndpoint",
                "glue:UpdateDevEndpoint"
            ],
            "Resource": [
                "*"
            ]
}

AWS Glue非目錄作業的存 BatchGet API取控制

某些AWS GlueAPI作業會擷取多個項目 (例如多個開發端點)；例如，BatchGetDevEndpoints。對於此作業，您可以指ARN定限制可存取的資源範圍。

例如，若要允許存取特定的開發端點，請包含BatchGetDevEndpoints在原則及其資源中ARN。

{
            "Sid": "BatchGetAPIIncluded",
            "Effect": "Allow",
            "Action": [
                "glue:BatchGetDevEndpoints"
            ],
            "Resource": [
                "arn:aws:glue:us-east-1:123456789012:devEndpoint/de1" 
            ]
}

使用此政策，您就可以成功存取名為 de1 的開發端點。不過，如果您嘗試存取名為 de2 的開發端點，此時就會傳回錯誤。

An error occurred (AccessDeniedException) when calling the BatchGetDevEndpoints operation: No access to any requested resource.