在與您的帳戶共用的資料庫或資料表上授予許可 - AWS Lake Formation

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

在與您的帳戶共用的資料庫或資料表上授予許可

與您的帳戶 AWS 共用屬於另一個 AWS 帳戶的 Data Catalog 資源後,身為資料湖管理員,您可以將共用資源的許可授予帳戶中的其他主體。不過,您無法將資源的許可授予其他 AWS 帳戶或組織。

您可以使用 AWS Lake Formation 主控台、 API 或 AWS Command Line Interface (AWS CLI) 來授予許可。

授予共用資料庫的許可 (命名資源方法、主控台)
授予共用資料表的許可 (命名資源方法、主控台)
授予共用資源的許可 (LF-TBAC 方法、主控台)
  • 請遵循中的說明進行授予 Data Catalog 許可 LF-Tags 或目錄資源區段中,授予外部帳戶授予您帳戶的確切 LF-Tag 表達式,或該表達式的子集。

    例如,如果外部帳戶使用授予選項將 LF-Tag 表達式授予module=customers AND environment=production您的帳戶,則身為資料湖管理員,您可以授予該相同表達式,module=customersenvironment=production授予您帳戶中的委託人。您只能授予透過 LF-Tag 表達式授予資源的相同或一部分 Lake Formation 許可 (例如 ALTERSELECT等)。

授予共用資料表的許可 (命名資源方法, AWS CLI)
  • 輸入與以下相似的命令。在此範例中:

    • AWS 您的帳戶 ID 為 1111-2222-3333。

    • 擁有 資料表且授予您 帳戶的 帳戶為 1234-5678-9012。

    • 共用資料表上的SELECT許可正在授予pageviews使用者 datalake_user1。該使用者是您帳戶中的委託人。

    • pageviews 資料表位於 資料庫中,該analytics資料庫由帳戶 1234-5678-9012 所擁有。

    aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::111122223333:user/datalake_user1 --permissions "SELECT" --resource '{ "Table": {"CatalogId":"123456789012", "DatabaseName":"analytics", "Name":"pageviews"}}'

    請注意,必須在 resource 引數的 CatalogId 屬性中指定擁有帳戶。