Anmeldeinformationen und Zugriffsberechtigungen

Um Daten mit einer anderen AWS Ressource wie Amazon S3, Amazon DynamoDB, Amazon EMR oder Amazon EC2 zu laden oder zu entladen, benötigt Amazon Redshift die Erlaubnis, auf die Ressource zuzugreifen und die erforderlichen Aktionen auszuführen, um auf die Daten zuzugreifen. Um beispielsweise Daten aus Amazon S3 zu laden, muss COPY über LIST-Zugriff auf den Bucket und GET-Zugriff auf die Bucket-Objekte verfügen.

Um die Autorisierung für den Zugriff auf eine Ressource zu erhalten, muss Amazon Redshift authentifiziert werden. Sie können eine rollenbasierte Zugriffssteuerung oder eine schlüsselbasierte Zugriffssteuerung wählen. Dieser Abschnitt bietet eine Übersicht über die beiden Methoden. Weitere Details und Beispiele finden Sie unter Berechtigungen für den Zugriff auf andere AWS -Ressourcen.

Rollenbasierte Zugriffskontrolle

Mit der rollenbasierten Zugriffskontrolle übernimmt Amazon Redshift vorübergehend eine AWS Identity and Access Management (IAM-) Rolle in Ihrem Namen. Basierend auf den für die Rolle erteilten Autorisierungen kann Amazon Redshift dann auf die erforderlichen AWS Ressourcen zugreifen.

Wir empfehlen die Verwendung einer rollenbasierten Zugriffskontrolle, da sie zusätzlich zum Schutz Ihrer Anmeldeinformationen eine sicherere und detailliertere Steuerung des Zugriffs auf AWS Ressourcen und vertrauliche Benutzerdaten ermöglicht. AWS

Um die rollenbasierte Zugriffskontrolle zu verwenden, müssen Sie zunächst eine IAM-Rolle mithilfe des Amazon Redshift Redshift-Servicerollentyps erstellen und die Rolle dann Ihrem Data Warehouse zuordnen. Die Rolle muss mindestens die in aufgelisteten Berechtigungen besitzen IAM-Berechtigungen für COPY, UNLOAD und CREATE LIBRARY. Schritte zum Erstellen einer IAM-Rolle und zum Anhängen dieser Rolle an Ihren Cluster finden Sie unter Creating an IAM Role to Allow Your Amazon Redshift Cluster to Access AWS Services im Amazon Redshift Management Guide.

Sie können über die Amazon-Redshift-Managementkonsole, die CLI oder eine API einem Cluster eine Rolle hinzufügen oder die Rollen anzeigen, die mit einem Cluster verknüpft sind. Weitere Informationen finden Sie unter Authorizing COPY and UNLOAD Operations Using IAM Roles (Autorisierung von COPY- und UNLOAD-Operationen mit IAM-Rollen) im Amazon-Redshift-Verwaltungshandbuch.

Beim Erstellen einer IAM-Rolle gibt IAM einen Amazon-Ressourcennamen (ARN) für die Rolle zurück. Um unter Verwendung einer IAM-Rolle einen COPY-Befehl auszuführen, geben Sie unter Verwendung der Parameter IAM_ROLE oder CREDENTIALS den ARN der Rolle an.

Im folgenden Beispiel für den COPY-Befehl wird der Parameter IAM_ROLE mit der Rolle MyRedshiftRole zur Authentifizierung verwendet.

COPY customer FROM 's3://DOC-EXAMPLE-BUCKET/mydata' 
IAM_ROLE 'arn:aws:iam::12345678901:role/MyRedshiftRole';

Der AWS Benutzer muss mindestens über die unter aufgeführten Berechtigungen verfügen. IAM-Berechtigungen für COPY, UNLOAD und CREATE LIBRARY

Schlüsselbasierte Zugriffssteuerung

Bei der schlüsselbasierten Zugriffskontrolle geben Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel für einen Benutzer an, der berechtigt ist, auf die AWS Ressourcen zuzugreifen, die die Daten enthalten. 

Anmerkung

Es wird nachdrücklich empfohlen, eine IAM-Rolle für die Authentifizierung zu verwenden, statt eine Zugriffsschlüssel-ID und einen geheimen Zugriffsschlüssel im Textformat bereitzustellen. Wenn Sie sich für die schlüsselbasierte Zugriffskontrolle entscheiden, verwenden Sie niemals Ihre AWS Kontoanmeldeinformationen (Root). Erstellen Sie stets einen IAM-Benutzer und geben Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel für diesen Benutzer an. Schritte zum Erstellen eines IAM-Benutzers finden Sie unter Erstellen eines IAM-Benutzers in Ihrem AWS -Konto.