使用聯合身分來管理 Amazon Redshift 對本機資源和 Amazon Redshift Spectrum 外部資料表的存取。

建立IAM身分。這可以是使用者或IAM角色。使用 支援的任何名稱IAM。

將許可政策連接至身分。指定下列任一項：

您可以使用IAM主控台，使用政策編輯器新增許可。

IAM 身分也需要存取外部資料的許可。直接新增下列 AWS 受管政策，以授予 Amazon S3 的存取權：

如果您使用 AWS Glue 準備外部資料，則需要最後一個受管政策。如需授予 Amazon Redshift Spectrum 存取權步驟的詳細資訊，請參閱為 Amazon Redshift 建立IAM角色，這是 Amazon Redshift 和 Redshift Spectrum 入門指南的一部分。它顯示新增IAM政策以存取 Redshift Spectrum 的步驟。

將SQL用戶端設定為連線至 Amazon Redshift。使用 Amazon Redshift JDBC驅動程式，並將使用者的憑證新增至工具的憑證屬性。像 SQL Workbench/J 這樣的用戶端對此運作良好。設定下列用戶端連線延伸屬性：

將 URL設定為 Amazon Redshift 或 Amazon Redshift Serverless 主控台中找到的JDBC端點。將URL結構描述取代為 jdbc：redshift：iam：，並使用下列格式：

第一次使用IAM身分連線至資料庫後，Amazon Redshift 會自動建立具有相同名稱的 Amazon Redshift 身分，IAM:使用者或IAM角色的字首IAMR:為 。本主題中的其餘步驟顯示使用者的範例。

如果未自動建立 Redshift 使用者，您可以使用管理員帳戶執行 CREATE USER 陳述式，並以格式 IAM:<user name> 指定使用者名稱來建立一個使用者。

身為 Amazon Redshift 叢集管理員，請授予 Redshift 使用者存取外部結構描述所需的許可。

GRANT ALL ON SCHEMA my_schema to "IAM:my_user";

若要授予 Redshift 使用者在外部結構描述中建立資料表的能力，他們必須是結構描述擁有者。例如：

ALTER SCHEMA my_schema owner to "IAM:my_user";

若要驗證組態，請在授予許可後，使用SQL用戶端以使用者身分執行查詢。此查詢範例會從外部資料表擷取資料。

SELECT * FROM my_schema.my_table;

建立本機資料表和外部資料表。使用 AWS Glue 編目的外部資料表可以用於此目的。

使用IAM您的身分連線至 Amazon Redshift。如上一節所述，當身分連接到 Amazon Redshift 時，便會建立一個 Redshift 資料庫使用者。如果先前不存在，則會建立使用者。如果使用者是新使用者，管理員必須授予他們在 Amazon Redshift 中執行任務 (例如查詢和建立資料表) 的許可。

使用您的管理員帳戶連接到 Redshift。執行命令以使用 SESSION 值建立外部結構描述。

create external schema spectrum_schema from data catalog
database '<my_external_database>' 
region '<my_region>'
iam_role 'SESSION'
catalog_id '<my_catalog_id>';

請注意，在這種情況下會設定 catalog_id。這是與功能一起新增的設定，因為 SESSION 會取代特定角色。

在此範例中，查詢中的值模擬真實值的顯示方式。

create external schema spectrum_schema from data catalog
database 'spectrum_db' 
region 'us-east-1'
iam_role 'SESSION'
catalog_id '123456789012'

在這種情況下，catalog_id值是 AWS 您的帳戶 ID。

使用您在步驟 2 中與 連線的IAM身分，執行查詢以存取外部資料。例如：

select * from spectrum_schema.table1;

在這種情況下， table1 可以是 Amazon S3 儲存貯體中檔案中JSON的 格式化資料。

如果您已經有一個使用叢集連接IAM角色的外部結構描述，指向外部資料庫或結構描述，您可以取代現有的結構描述並使用聯合身分，如這些步驟中詳述，或建立新的結構描述。