Schritt 1: Erstellen Sie eine IAM-Richtlinie für AWS Glue Service nicht zulässig

Für jeden Vorgang, der auf Daten auf einer anderen AWS Ressource zugreift, z. B. den Zugriff auf Ihre Objekte in Amazon S3 S3, AWS Glue benötigt die Erlaubnis, in Ihrem Namen auf die Ressource zuzugreifen. Sie stellen diese Berechtigungen mithilfe von AWS Identity and Access Management (IAM) bereit.

Anmerkung

Sie können diesen Schritt überspringen, wenn Sie die AWS verwaltete Richtlinie AWSGlueServiceRole verwenden.

In diesem Schritt erstellen Sie eine ähnliche Richtlinie wie AWSGlueServiceRole. Die aktuelle Version von AWSGlueServiceRole finden Sie in der IAM-Konsole.

Um eine IAM-Richtlinie zu erstellen für AWS Glue

Diese Richtlinie gewährt einigen Amazon S3 S3-Aktionen die Erlaubnis, Ressourcen in Ihrem Konto zu verwalten, die benötigt werden von AWS Glue wenn es mithilfe dieser Richtlinie die Rolle übernimmt. Einige der in dieser Richtlinie angegebenen Ressourcen beziehen sich auf Standardnamen, die verwendet werden von AWS Glue für Amazon S3-Buckets, Amazon S3 ETL-Skripts, CloudWatch Protokolle und EC2 Amazon-Ressourcen. Der Einfachheit halber AWS Glue schreibt einige Amazon S3 S3-Objekte in Buckets in Ihrem Konto, aws-glue-* standardmäßig mit dem Präfix.

1. Melden Sie sich bei der an AWS Management Console und öffnen Sie die IAM-Konsole unter. https://console.aws.amazon.com/iam/

2. Wählen Sie im linken Navigationsbereich Richtlinien aus.

3. Wählen Sie Create Policy (Richtlinie erstellen) aus.

4. Navigieren Sie auf dem Bildschirm Create Policy (Richtlinie erstellen) zu einer Registerkarte, um JSON zu bearbeiten. Erstellen Sie ein Richtliniendokument mit den folgenden JSON-Anweisungen und wählen Sie dann Review Policy (Richtlinie überprüfen) aus.

   Anmerkung

   Fügen Sie alle erforderlichen Berechtigungen für Amazon-S3-Ressourcen hinzu. Sie können den Umfang des Ressourcenabschnitts in Ihrer Zugriffsrichtlinie auf die Ressourcen beschränken, die erforderlich sind.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "glue:*",
                   "s3:GetBucketLocation",
                   "s3:ListBucket",
                   "s3:ListAllMyBuckets",
                   "s3:GetBucketAcl",
                   "ec2:DescribeVpcEndpoints",
                   "ec2:DescribeRouteTables",
                   "ec2:CreateNetworkInterface",
                   "ec2:DeleteNetworkInterface",				
                   "ec2:DescribeNetworkInterfaces",
                   "ec2:DescribeSecurityGroups",
                   "ec2:DescribeSubnets",
                   "ec2:DescribeVpcAttribute",
                   "iam:ListRolePolicies",
                   "iam:GetRole",
                   "iam:GetRolePolicy",
                   "cloudwatch:PutMetricData"                
               ],
               "Resource": [
                   "*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:CreateBucket",
                   "s3:PutBucketPublicAccessBlock"
               ],
               "Resource": [
                   "arn:aws:s3:::aws-glue-*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"				
               ],
               "Resource": [
                   "arn:aws:s3:::aws-glue-*/*",
                   "arn:aws:s3:::*/*aws-glue-*/*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::crawler-public*",
                   "arn:aws:s3:::aws-glue-*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogGroup",
                   "logs:CreateLogStream",
                   "logs:PutLogEvents",
                   "logs:AssociateKmsKey"                
               ],
               "Resource": [
                   "arn:aws:logs:*:*:log-group:/aws-glue/*"
               ]
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateTags",
                   "ec2:DeleteTags"
               ],
               "Condition": {
                   "ForAllValues:StringEquals": {
                       "aws:TagKeys": [
                           "aws-glue-service-resource"
                       ]
                   }
               },
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*",
                   "arn:aws:ec2:*:*:security-group/*",
                   "arn:aws:ec2:*:*:instance/*"
               ]
           }
       ]
   }

   Die folgende Tabelle beschreibt die Berechtigungen, die von dieser Richtlinie erteilt werden.

   Action (Aktion)	Ressource	Beschreibung
   "glue:*"	"*"	Erteilt die Erlaubnis, alle auszuführen AWS Glue API-Operationen.
   "s3:GetBucketLocation", "s3:ListBucket", "s3:ListAllMyBuckets", "s3:GetBucketAcl",	"*"	Ermöglicht die Auflistung von Amazon-S3-Buckets aus Crawlern, Aufträgen, Entwicklungsendpunkten und Notebook-Servern.
   "ec2:DescribeVpcEndpoints", "ec2:DescribeRouteTables", "ec2:CreateNetworkInterface", "ec2:DeleteNetworkInterface", "ec2:DescribeNetworkInterfaces", "ec2:DescribeSecurityGroups", "ec2:DescribeSubnets", "ec2:DescribeVpcAttribute",	"*"	Ermöglicht die Einrichtung von EC2 Amazon-Netzwerkelementen wie virtuellen privaten Clouds (VPCs) beim Ausführen von Jobs, Crawlern und Entwicklungsendpunkten.
   "iam:ListRolePolicies", "iam:GetRole", "iam:GetRolePolicy"	"*"	Ermöglicht die Auflistung von IAM-Rollen aus Crawlern, Aufträgen, Entwicklungsendpunkten und Notebook-Servern.
   "cloudwatch:PutMetricData"	"*"	Ermöglicht das Schreiben von CloudWatch Metriken für Jobs.
   "s3:CreateBucket", "s3:PutBucketPublicAccessBlock"	"arn:aws:s3:::aws-glue-*"	Ermöglicht das Erstellen von Amazon-S3-Buckets in Ihrem Konto aus Aufträgen und Notebook-Servern. Namenskonvention: Verwendet Amazon-S3-Ordner mit dem Namen aws-glue-. Aktiviert AWS Glue um Buckets zu erstellen, die den öffentlichen Zugriff blockieren.
   "s3:GetObject", "s3:PutObject", "s3:DeleteObject"	"arn:aws:s3:::aws-glue-*/*", "arn:aws:s3:::*/*aws-glue-*/*"	Erlaubt das Abrufen, Speichern und Löschen von Amazon-S3-Objekten in Ihrem Konto beim Speichern von Objekten wie ETL-Skripts und Notebook-Server-Standorten. Namenskonvention: Erteilt Berechtigungen für Amazon-S3-Buckets oder Ordner, deren Namen das Präfix aws-glue- enthalten.
   "s3:GetObject"	"arn:aws:s3:::crawler-public*", "arn:aws:s3:::aws-glue-*"	Lässt das Abrufen von Amazon-S3-Objekten, die von Beispielen und Tutorials verwendet werden, aus Crawlern und Aufträgen zu. Namenskonvention: Amazon-S3-Bucket-Namen beginnen mit crawler-public und aws-glue-.
   "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents"	"arn:aws:logs:*:*:log-group:/aws-glue/*"	Ermöglicht das Schreiben von Protokollen in CloudWatch Logs. Benennungskonvention: AWS Glue schreibt Protokolle in Protokollgruppen, deren Namen mit aws-glue beginnen.
   "ec2:CreateTags", "ec2:DeleteTags"	"arn:aws:ec2:*:*:network-interface/*", "arn:aws:ec2:*:*:security-group/*", "arn:aws:ec2:*:*:instance/*"	Ermöglicht das Taggen von EC2 Amazon-Ressourcen, die für Entwicklungsendpunkte erstellt wurden. Benennungskonvention: AWS Glue kennzeichnet EC2 Amazon-Netzwerkschnittstellen, Sicherheitsgruppen und Instances mit aws-glue-service-resource.

5. Geben Sie auf Bildschirm Review Policy (Richtlinie überprüfen) Ihren Policy Name (Richtlinienname) ein, z. B. GlueServiceRolePolicy. Geben Sie eine optionale Beschreibung ein und wählen Sie Create policy (Richtlinie erstellen) aus, wenn Sie mit der Richtlinie zufrieden sind.