本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
使用 GetResourceShares API 作業檢視所有跨帳戶授權
如果您的企業同時使用 AWS Glue Data Catalog 資源策略和 Lake Formation 授予跨帳戶權限,則在一個位置查看所有跨帳戶授予的唯一方法是使用 glue:GetResourceShares
API 操作。
當您使用指定的資源方法跨帳戶授予 Lake Formation 權限時, AWS Resource Access Manager (AWS RAM) 會建立 AWS Identity and Access Management (IAM) 資源政策並將其儲存在您的 AWS 帳戶中。該策略授予訪問資源所需的權限。 AWS RAM 為每個跨帳號授權建立個別的資源策略。您可以使用 glue:GetResourceShares
API 作業來檢視所有這些政策。
注意
此作業也會傳回資料目錄資源原則。但是,如果您在 [資料目錄] 設定中啟用中繼資料加密,且您沒有 AWS KMS 金鑰的權限,則作業將不會傳回資料目錄資源原則。
檢視所有跨帳戶撥款
-
輸入以下 AWS CLI 命令。
aws glue get-resource-policies
以下是當您db1
將資料庫t
中資料表的權限授與 AWS 帳號 1111-2222-3333 時 AWS RAM 建立並儲存的資源策略範例。
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:GetTable", "glue:GetTables", "glue:GetTableVersion", "glue:GetTableVersions", "glue:GetPartition", "glue:GetPartitions", "glue:BatchGetPartition", "glue:SearchTables" ], "Principal": {"AWS": [ "111122223333" ]}, "Resource": [ "arn:aws:glue:
<region>
:111122223333:table/db1/t" ] } ] }
另請參閱:
-
GetResourceShares 開發人員指南中的動作(Python:獲取資源政策)AWS Glue