Amazon Redshift 將不再支援在 2026 年 6 月 30 日之後使用 Python UDFs。我們將開始分階段強制執行。如需 Python 生命週期結束和遷移選項的詳細資訊，請參閱 2025 年 6 月 30 日發佈的部落格文章。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用身分增強 IAM 角色工作階段連線至 Redshift

您可以使用 IAM Identity Center 來提供 Amazon Redshift 叢集和無伺服器工作群組的聯合存取。此方法可讓使用者使用其 Identity Center 登入資料進行身分驗證。

Amazon Redshift 提供 GetIdentityCenterAuthToken API 操作，以產生包含使用者身分資訊的授權字符。這些 APIs適用於佈建叢集和無伺服器工作群組。字符可讓您使用現有的 Identity Center 設定，無縫存取 Amazon Redshift 資料庫的單一登入。

先決條件

將 Identity Center 身分驗證與 Amazon Redshift 搭配使用之前，請確定您有下列項目：

Identity Center 身分驗證的運作方式

Amazon Redshift 的身分中心身分驗證使用以下工作流程：

GetIdentityCenterAuthToken API 操作

Amazon Redshift 提供兩個不同的 GetIdentityCenterAuthToken API 操作：一個用於佈建的叢集，另一個用於無伺服器工作群組。這兩個操作的名稱都相同，但接受不同的參數，取決於目標資源類型。

已佈建叢集的 GetIdentityCenterAuthToken

對於佈建的 Amazon Redshift 叢集，請使用 Amazon Redshift 服務中的 GetIdentityCenterAuthToken API 來產生授權字符。

請求語法

{
   "ClusterIds": [ "string" ]
}
                

請求參數

CLI 範例

範例：取得單一叢集的授權字符

aws redshift get-identity-center-auth-token \
    --cluster-ids my-redshift-cluster

範例：取得多個叢集的授權字符

aws redshift get-identity-center-auth-token \
    --cluster-ids my-cluster-1 my-cluster-2

適用於無伺服器工作群組的 GetIdentityCenterAuthToken

對於 Amazon Redshift Serverless 工作群組，請使用 Amazon Redshift Serverless 服務中的 GetIdentityCenterAuthToken API 來產生授權字符。

請求語法

{
   "WorkgroupNames": [ "string" ]
}
                

請求參數

CLI 範例

範例：取得單一工作群組的授權字符

aws redshift-serverless get-identity-center-auth-token \
    --workgroup-names my-workgroup

範例：取得多個工作群組的授權字符

aws redshift-serverless get-identity-center-auth-token \
    --workgroup-names workgroup-1 workgroup-2

回應語法

兩個 APIs都會傳回相同的回應結構：

{
   "AuthorizedToken": "string",
   "ExpirationTime": "timestamp"
}
            

回應參數

回應範例

{
    "AuthorizedToken": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyQGV4YW1wbGUuY29tIiwiaWF0IjoxNjQwOTk1MjAwLCJleHAiOjE2NDA5OTg4MDAsImNsdXN0ZXJzIjpbIm15LWNsdXN0ZXIiXX0...",
    "ExpirationTime": "2024-01-01T12:00:00Z"
}

驅動程式整合

Amazon Redshift 驅動程式透過直接字符用量支援 Identity Center 身分驗證：

直接字符用量

呼叫 GetIdentityCenterAuthToken API 以取得字符之後，請使用 IdpTokenAuthPlugin搭配SUBJECT_TOKEN字符類型。

連線組態：

plugin_name = com.amazon.redshift.plugin.IdpTokenAuthPlugin
token_type = SUBJECT_TOKEN
token = {encrypted_token_from_api_response}
            

如需 Identity Center 身分驗證外掛程式和驅動程式組態的詳細資訊，請參閱連線至 Amazon Redshift 叢集。

Java 程式碼範例

使用 Identity Center 身分驗證連線的範例 Java 程式碼：

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;
import java.util.Properties;

// Get token from GetIdentityCenterAuthToken API
String token = "your_encrypted_token_from_api_response";

// Configure connection properties
Properties props = new Properties();
props.setProperty("user", "your_username");
props.setProperty("plugin_name", "com.amazon.redshift.plugin.IdpTokenAuthPlugin");
props.setProperty("token_type", "SUBJECT_TOKEN");
props.setProperty("token", token);

// Connect to Redshift
String url = "jdbc:redshift://your-cluster.region.redshift.amazonaws.com:5439/your_database";
try (Connection conn = DriverManager.getConnection(url, props)) {
    // Use connection
    System.out.println("Connected successfully!");
} catch (SQLException e) {
    e.printStackTrace();
}
            

IAM 政策要求

若要搭配 Amazon Redshift 使用 Identity Center 身分驗證，除了連線至 Amazon Redshift 叢集和工作群組所需的標準許可之外，還需要特定的 IAM 許可。

API 許可

對於佈建的叢集，增強型 IAM 角色工作階段必須具有：

對於無伺服器工作群組，增強型 IAM 角色工作階段必須具有：

範例 IAM 政策

已佈建叢集的範例政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "redshift:GetIdentityCenterAuthToken"
            ],
            "Resource": [
                "arn:aws:redshift:us-east-1:123456789012:cluster:my-cluster"
            ]
        }
    ]
}

無伺服器工作群組的範例政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "redshift-serverless:GetIdentityCenterAuthToken"
            ],
            "Resource": [
                "arn:aws:redshift-serverless:us-east-1:123456789012:workgroup/my-workgroup"
            ]
        }
    ]
}

多個資源的政策範例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "redshift:GetIdentityCenterAuthToken"
            ],
            "Resource": [
                "arn:aws:redshift:*:123456789012:cluster/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "redshift-serverless:GetIdentityCenterAuthToken"
            ],
            "Resource": [
                "arn:aws:redshift-serverless:*:123456789012:workgroup/*"
            ]
        }
    ]
}

區域可用性

Identity Center 身分驗證可在下列 AWS 區域使用：