基礎資料存取控制

當整合式 AWS 服務請求存取由存取控制之 Amazon S3 位置中的資料時 AWS Lake Formation，Lake Formation 會提供臨時登入資料來存取資料。

若要讓湖泊形成控制對 Amazon S3 位置基礎資料的存取，請向 Lake Formation 註冊該位置。

註冊 Amazon S3 位置後，您可以開始授予以下 Lake Formation 許可：

Lake Formation 資料位置許可控制建立指向特定 Amazon S3 位置的資料目錄資源的能力。資料位置權限為資料湖中的位置提供額外的安全層。當您授與CREATE_TABLE或ALTER權限給主參與者時，您也會授與資料位置權限，以限制主參與者可以建立或變更中繼資料表格的位置。

Amazon S3 位置是儲存貯體下的儲存貯體或前置詞，但不是個別的 Amazon S3 物件。

您可以使用 Lake Formation 主控台、API 或 AWS CLI. 授予書的一般形式如下：

grant DATA_LOCATION_ACCESS to principal on S3 location [with grant option]

如果您包含with grant option，受權者可以將權限授與其他主參與者。

回想一下，Lake Formation 許可始終與 AWS Identity and Access Management （IAM）許可結合使用，以實現精細的訪問控制。對於基礎 Amazon S3 資料的讀取/寫入許可，IAM 許可的授與方式如下：

註冊位置時，您可以指定 IAM 角色，以授與該位置的讀取/寫入許可。在向集成 AWS 服務提供臨時憑據時，Lake Formation 承擔該角色。一般角色可能會附加下列原則，其中註冊位置是值區awsexamplebucket。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::awsexamplebucket"
            ]
        }
    ]
}

Lake Formation 提供了一個服務鏈接的角色，您可以在註冊過程中使用它來自動創建這樣的策略。如需詳細資訊，請參閱 使用服務連結角色進行 Lake Formation。

因此，註冊 Amazon S3 位置會授予該位置上所需的 s3: IAM 許可，其中許可由用於註冊該位置的角色指定。

對於基礎資料的讀取/寫入存取權，除了 Lake Formation 許可外，主體還需要以下 IAM 權限：

lakeformation:GetDataAccess

有了此許可，Lake Formation 就會授與要求存取資料所需的臨時憑證。

此權限包含在中的建議策略中Lake Formation 角色和 IAM 許可參考。

總而言之，為了使 Lake Form 校長能夠使用由 Lake Formation 權限控制的訪問權限讀取和寫入基礎數據：

有關數據位置權限的更多

資料位置權限可控制資料目錄資料庫和表格上建立和更新作業的結果。規則如下：

考慮下圖中顯示的場景。

在這張圖中：

以下是使用者datalake_user嘗試在特定資料庫中的特定位置建立目錄表格時的結果。

如需詳細資訊，請參閱下列內容：