Arbeiten mit Ansichten - AWS Lake Formation
VoraussetzungenErstellen von AnsichtenGewähren von Berechtigungen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Arbeiten mit Ansichten

Bei diesem Feature handelt es sich um eine Vorabversion, die Änderungen unterliegt. Weitere Informationen dazu finden Sie in den Abschnitten „Betas“ und „Vorschauen“ im Dokument AWS -Servicebedingungen.

In ist eine Ansicht eine virtuelle Tabelle AWS Glue Data Catalog, in der der Inhalt durch eine Abfrage definiert wird, die auf eine oder mehrere Tabellen verweist. Sie können mit SQL-Editoren für Amazon Athena, Amazon Redshift oder Amazon EMR eine Ansicht erstellen, die auf bis zu 10 Tabellen verweist. Die einer Ansicht zugrunde liegenden Referenztabellen können zu derselben Datenbank oder zu verschiedenen Datenbanken innerhalb derselben gehören. AWS-Konto

SQL ist eine Programmiersprache, die zum Abfragen von Tabellen verwendet wird, und jede AWS Analyse-Engine verwendet ihre eigene Variante von SQL oder ihren eigenen SQL-Dialekt. Der Datenkatalog unterstützt die Erstellung von Ansichten mit unterschiedlichen SQL-Dialekten, sofern jeder Dialekt auf denselben Satz von Tabellen, Spalten und Datentypen verweist. Durch die Definition eines gemeinsamen Ansichtsschemas und eines Metadatenobjekts, das Sie von mehreren Engines abfragen können, ermöglichen Ihnen Datenkatalogansichten die Verwendung einheitlicher Ansichten für Ihren gesamten Data Lake.

Wenn Sie Ansichten im Datenkatalog verwalten, können Sie diese verwenden, AWS Lake Formation um über die Methode der benannten Ressource oder mithilfe von LF-Tags detaillierte Berechtigungen zu gewähren und diese für AWS Organisationen und Organisationseinheiten AWS-Konten gemeinsam zu nutzen. Sie können Datenkatalogansichten auch für andere Benutzer freigeben. AWS-Regionen Auf diese Weise können Benutzer auf Daten zugreifen, AWS-Regionen ohne die Datenquelle duplizieren zu müssen.

Weitere Informationen zur kontenübergreifenden gemeinsamen Nutzung von Daten und zum regionsübergreifenden Datenzugriff finden Sie unter:

Sie können Datenkatalog-Ansichten verwenden, um:

  • Berechtigungen für ein einzelnes Ansichtsschema erstellen und verwalten. Auf diese Weise können Sie das Risiko inkonsistenter Berechtigungen für doppelte Ansichten vermeiden, die in mehreren Engines erstellt wurden.

  • Erteilen Sie Benutzern Berechtigungen für eine Ansicht, die auf mehrere Tabellen verweist, ohne Berechtigungen direkt für die zugrunde liegenden Referenztabellen zu gewähren.

Einschränkungen finden Sie unter Überlegungen und Einschränkungen in Data Catalog

Voraussetzungen für das Erstellen von Ansichten

  • Um Ansichten in Data Catalog zu erstellen, müssen Sie die zugrunde liegenden Amazon S3 S3-Datenspeicherorte der Referenztabellen bei Lake Formation registrieren.

    Einzelheiten zur Registrierung von Daten bei Lake Formation finden Sie unterHinzufügen eines Amazon S3 S3-Standorts zu Ihrem Data Lake.

  • Der View Definer muss eine IAM-Rolle sein. Andere IAM-Identitäten können keine Datenkatalogsichten erstellen.

  • Die IAM-Rolle, die die Ansicht definiert, muss über die folgenden Berechtigungen verfügen:

    • Vollständige Lake Formation SELECT Formation-Genehmigung mit Grantable Option für alle Referenztabellen.

    • Eine Vertrauensrichtlinie für Lake Formation und die AWS Glue Dienste, um die Rolle zu übernehmen. 

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataCatalogViewDefinerAssumeRole1",
            "Effect": "Allow",
            "Principal": {
               "Service": [
                    "glue.amazonaws.com",
                    "lakeformation.amazonaws.com"
                 ]
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

    • Das Ziel: PassRole Genehmigung für AWS Glue und Lake Formation.

      {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DataCatalogViewDefinerPassRole1",
            "Action": [
                "iam:PassRole"
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [ 
                        "glue.amazonaws.com",
                        "lakeformation.amazonaws.com"
                      ]
                }
            }
        }
    ]
}

    • AWS Glue und Genehmigungen für Lake Formation.

      {
    "Version": "2012-10-17",
                 "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "Glue:GetDatabase",
                "Glue:GetDatabases",
                "Glue:CreateTable",
                "Glue:GetTable",
                "Glue:UpdateTable",
                "Glue:DeleteTable",
                "Glue:GetTables",
                "Glue:SearchTables",
                "Glue:BatchGetPartition",
                "Glue:GetPartitions",
                "Glue:GetPartition",
                "Glue:GetTableVersion",
                "Glue:GetTableVersions",
                "lakeFormation:GetDataAccess",
                "lakeFormation:GetTemporaryTableCredentials",
                "lakeFormation:GetTemporaryGlueTableCredentials",
                "lakeFormation:GetTemporaryUserCredentialsWithSAML"
            ],
            "Resource": "*"
        }
    ]   
}

  • Sie können keine Ansichten erstellen, wenn für die Datenbank, in der die Ansicht erstellt wird, der IAMAllowedPrincipals Gruppe eine Super ALL entsprechende Berechtigung erteilt wurde. Informationen zum Widerrufen der Super IAMAllowedPrincipals Gruppenberechtigung für eine Datenbank finden Sie unterSchritt 4: Stellen Sie Ihre Datenspeicher auf das Lake Formation Formation-Berechtigungsmodell um.

    Wenn Ihre vorhandenen Data Lake-Einstellungen es Ihnen nicht erlauben, für IAMAllowedPrincipals Gruppe den Wert CreateTableDefaultPermissions leer zu setzen, können Sie eine neue Datenbank erstellen und die Data Lake-Einstellung mithilfe der folgenden Struktur codieren.

    {
    "DataLakeSettings": {
        "DataLakeAdmins": [
            {
                "DataLakePrincipalIdentifier": "arn:aws:iam::<AccountId>:user/<Username>"
            }
        ],
        CreateTableDefaultPermissions": [
            {
                "Principal": {
                    "DataLakePrincipalIdentifier": "IAM_ALLOWED_PRINCIPALS"
                },
                "Permissions": []
            }
        ]
 }

Erstellen von Ansichten

Sie können SQL-Editoren für Athena, Amazon Redshift oder Amazon EMR verwenden, um Ansichten in der zu erstellen. AWS Glue Data Catalog

Weitere Informationen zur Syntax für die Erstellung und Verwaltung von Datenkatalogansichten finden Sie unter:

Nachdem Sie eine Datenkatalog-Ansicht erstellt haben, werden die Details der Ansicht in der Lake Formation Formation-Konsole angezeigt.

  1. Wählen Sie in der Lake Formation Formation-Konsole unter Datenkatalog die Option Ansichten aus.

  2. Eine Liste der verfügbaren Ansichten wird auf der Seite „Ansichten“ angezeigt.

  3. Wählen Sie eine Ansicht aus der Liste aus und auf der Detailseite werden die Attribute der Ansicht angezeigt.

Der untere Bereich enthält fünf horizontal angeordnete Registerkarten, wobei jede Registerkarte die entsprechenden Informationen enthält.
Schema

Wählen Sie eine Column Zeile und wählen Sie „LF-Tags bearbeiten“, um Tag-Werte zu aktualisieren oder neue LF-Tags zuzuweisen.

SQL-Definitionen

Sie können eine Liste der verfügbaren SQL-Definitionen sehen. Wählen Sie SQL-Definition hinzufügen und wählen Sie eine Abfrage-Engine aus, um eine SQL-Definition hinzuzufügen. Wählen Sie in der Edit definition Spalte eine Abfrage-Engine (Athena oder Amazon Redshift) aus, um eine SQL-Definition zu aktualisieren.

LF-Tags

Wählen Sie LF-Tags bearbeiten, um Werte für ein Tag zu bearbeiten oder neue Tags zuzuweisen. Sie können LF-Tags verwenden, um Berechtigungen für Ansichten zu erteilen.

Kontoübergreifender Zugriff

In der Datenkatalogansicht können Sie eine Liste der AWS-Konten Organisationen und Organisationseinheiten (OUs) sehen, die Sie gemeinsam genutzt haben.

Zugrundeliegende Tabellen

Die zugrunde liegenden Tabellen, auf die in der SQL-Definition verwiesen wird, die zur Erstellung der Ansicht verwendet wurde, werden auf dieser Registerkarte angezeigt.

Erteilen von Berechtigungen für Datenkatalogansichten

Nachdem Sie Ansichten erstellt haben, können Sie Prinzipalen in verschiedenen AWS-Konten Organisationen und Organisationseinheiten Data Lake-Berechtigungen für Ansichten gewähren. Weitere Informationen zum Erteilen von Berechtigungen finden Sie unter Erteilen von Berechtigungen für Ansichten mithilfe der benannten Ressourcenmethode .