Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Schritt 1: Erstellen Sie eine IAM-Richtlinie für den AWS Glue-Service
Für jede Operation, die Zugriff auf Daten einer anderen AWS-Ressource hat, z. B. Zugriff auf Ihre Objekte in Amazon S3, benötigt AWS Glue die Berechtigung für den Zugriff auf die Ressource in Ihrem Namen. Diese Berechtigungen stellen Sie mithilfe von AWS Identity and Access Management (IAM) zur Verfügung.
Anmerkung
Sie können diesen Schritt überspringen, wenn Sie die von AWS verwaltete Richtlinie AWSGlueServiceRole verwenden.
In diesem Schritt erstellen Sie eine ähnliche Richtlinie wie AWSGlueServiceRole. Die aktuelle Version von AWSGlueServiceRole finden Sie in der IAM-Konsole.
So erstellen Sie eine AWS Glue IAM-Richtlinie
Diese Richtlinie erteilt die Berechtigung für einige Amazon-S3-Aktionen zur Verwaltung von Ressourcen in Ihrem Konto, die der AWS Glue-Service benötigt, wenn er die Rolle mit dieser Richtlinie annimmt. Einige der in dieser Richtlinie angegebenen Ressourcen beziehen sich auf Standardnamen, die von AWS Glue für Amazon-S3-Buckets, Amazon-S3-ETL-Skripte, CloudWatch Logs und Amazon-EC2-Ressourcen verwendet werden. Der Einfachheit halber schreibt AWS Glue einige Amazon-S3-Objekte in Buckets in Ihrem Konto mit dem Standardpräfix aws-glue-*.
Melden Sie sich bei der AWS Management Console an und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/
. -
Wählen Sie im linken Navigationsbereich die Option Policies (Richtlinien) aus.
-
Wählen Sie Create Policy (Richtlinie erstellen) aus.
-
Navigieren Sie auf dem Bildschirm Create Policy (Richtlinie erstellen) zu einer Registerkarte, um JSON zu bearbeiten. Erstellen Sie ein Richtliniendokument mit den folgenden JSON-Anweisungen und wählen Sie dann Review Policy (Richtlinie überprüfen) aus.
Anmerkung
Fügen Sie alle erforderlichen Berechtigungen für Amazon-S3-Ressourcen hinzu. Sie können den Umfang des Ressourcenabschnitts in Ihrer Zugriffsrichtlinie auf die Ressourcen beschränken, die erforderlich sind.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "glue:*", "s3:GetBucketLocation", "s3:ListBucket", "s3:ListAllMyBuckets", "s3:GetBucketAcl", "ec2:DescribeVpcEndpoints", "ec2:DescribeRouteTables", "ec2:CreateNetworkInterface", "ec2:DeleteNetworkInterface", "ec2:DescribeNetworkInterfaces", "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcAttribute", "iam:ListRolePolicies", "iam:GetRole", "iam:GetRolePolicy", "cloudwatch:PutMetricData" ], "Resource": [ "*" ] }, { "Effect": "Allow", "Action": [ "s3:CreateBucket", "s3:PutBucketPublicAccessBlock" ], "Resource": [ "arn:aws:s3:::aws-glue-*" ] }, { "Effect": "Allow", "Action": [ "s3:GetObject", "s3:PutObject", "s3:DeleteObject" ], "Resource": [ "arn:aws:s3:::aws-glue-*/*", "arn:aws:s3:::*/*aws-glue-*/*" ] }, { "Effect": "Allow", "Action": [ "s3:GetObject" ], "Resource": [ "arn:aws:s3:::crawler-public*", "arn:aws:s3:::aws-glue-*" ] }, { "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents", "logs:AssociateKmsKey" ], "Resource": [ "arn:aws:logs:*:*:log-group:/aws-glue/*" ] }, { "Effect": "Allow", "Action": [ "ec2:CreateTags", "ec2:DeleteTags" ], "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": [ "aws-glue-service-resource" ] } }, "Resource": [ "arn:aws:ec2:*:*:network-interface/*", "arn:aws:ec2:*:*:security-group/*", "arn:aws:ec2:*:*:instance/*" ] } ] }Die folgende Tabelle beschreibt die Berechtigungen, die von dieser Richtlinie erteilt werden.
Action (Aktion) Resource Beschreibung "glue:*""*"Gewährt die Berechtigung zum Ausführen aller AWS Glue-API-Operationen.
"s3:GetBucketLocation", "s3:ListBucket", "s3:ListAllMyBuckets", "s3:GetBucketAcl","*"Ermöglicht die Auflistung von Amazon-S3-Buckets aus Crawlern, Aufträgen, Entwicklungsendpunkten und Notebook-Servern.
"ec2:DescribeVpcEndpoints", "ec2:DescribeRouteTables", "ec2:CreateNetworkInterface", "ec2:DeleteNetworkInterface", "ec2:DescribeNetworkInterfaces", "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcAttribute","*"Ermöglicht das Einrichten von Amazon-EC2-Netzwerkelementen, z. B. Virtual Private Clouds (VPCs), wenn Aufträge, Crawler und Entwicklungsendpunkte ausgeführt werden.
"iam:ListRolePolicies", "iam:GetRole", "iam:GetRolePolicy""*"Ermöglicht die Auflistung von IAM-Rollen aus Crawlern, Aufträgen, Entwicklungsendpunkten und Notebook-Servern.
"cloudwatch:PutMetricData""*"Ermöglicht das Schreiben von CloudWatch-Metriken für Aufträge.
"s3:CreateBucket", "s3:PutBucketPublicAccessBlock""arn:aws:s3:::aws-glue-*"Ermöglicht das Erstellen von Amazon-S3-Buckets in Ihrem Konto aus Aufträgen und Notebook-Servern.
Namenskonvention: Verwendet Amazon-S3-Ordner mit dem Namen aws-glue-.
Ermöglicht AWS Glue die Erstellung von Buckets, die den öffentlichen Zugriff blockieren.
"s3:GetObject", "s3:PutObject", "s3:DeleteObject""arn:aws:s3:::aws-glue-*/*", "arn:aws:s3:::*/*aws-glue-*/*"Erlaubt das Abrufen, Speichern und Löschen von Amazon-S3-Objekten in Ihrem Konto beim Speichern von Objekten wie ETL-Skripts und Notebook-Server-Standorten.
Namenskonvention: Erteilt Berechtigungen für Amazon-S3-Buckets oder Ordner, deren Namen das Präfix aws-glue- enthalten.
"s3:GetObject""arn:aws:s3:::crawler-public*", "arn:aws:s3:::aws-glue-*"Lässt das Abrufen von Amazon-S3-Objekten, die von Beispielen und Tutorials verwendet werden, aus Crawlern und Aufträgen zu.
Namenskonvention: Amazon-S3-Bucket-Namen beginnen mit crawler-public und aws-glue-.
"logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents""arn:aws:logs:*:*:log-group:/aws-glue/*"Ermöglicht das Schreiben von Protokollen in CloudWatch Logs.
Namenskonvention: AWS Glue schreibt Protokolle in Protokollgruppen, deren Namen mit aws-glue beginnen.
"ec2:CreateTags", "ec2:DeleteTags""arn:aws:ec2:*:*:network-interface/*", "arn:aws:ec2:*:*:security-group/*", "arn:aws:ec2:*:*:instance/*"Ermöglicht das Markieren von Amazon-EC2-Ressourcen für Entwicklungsendpunkte.
Namenskonvention: AWS Glue markiert Amazon-EC2-Netzwerkschnittstellen, Sicherheitsgruppen und Instances mit aws-glue-service-resource (AWS Glue-Serviceressource).
-
Geben Sie auf Bildschirm Review Policy (Richtlinie überprüfen) Ihren Policy Name (Richtlinienname) ein, z. B. GlueServiceRolePolicy. Geben Sie eine optionale Beschreibung ein und wählen Sie Create policy (Richtlinie erstellen) aus, wenn Sie mit der Richtlinie zufrieden sind.
