Nutzungshinweise

Um Rechte für ein Objekt zu widerrufen, müssen Sie mindestens eines der folgenden Kriterien erfüllen:

• Sie müssen der Besitzer des Objekts sein.

• Sie müssen ein Superuser sein.

• Sie müssen das Recht besitzen, Rechte für dieses Objekt und Recht zu gewähren.

  Der folgende Befehl gewährt beispielsweise dem Benutzer HR die erforderlichen Rechte, um SELECT-Befehle für die Mitarbeitertabelle ausführen, anderen Benutzern dieselben Recht gewähren und diese Rechte für andere Benutzer widerrufen zu können.

  grant select on table employees to HR with grant option;

  HR kann keine Rechte für andere Operationen als SELECT oder für andere Tabellen als die Mitarbeitertabelle widerrufen.

Superuser können auf alle Objekte zugreifen, unabhängig von GRANT- und REVOKE-Befehlen, mit denen Objektrechte festgelegt werden.

PUBLIC stellt eine Gruppe dar, die stets alle Benutzer enthält. Standardmäßig besitzen alle Mitglieder von PUBLIC CREATE- und USAGE-Berechtigungen für das Schema PUBLIC. Zum Einschränken sämtlicher Benutzerberechtigungen im PUBLIC-Schema müssen Sie zuerst alle Berechtigungen von PUBLIC im PUBLIC-Schema widerrufen und die Berechtigungen dann spezifischen Benutzern oder Gruppen erteilen. Im folgenden Beispiel werden Rechte für die Tabellenerstellung im Schema PUBLIC gesteuert.

revoke create on schema public from public;

Um Berechtigungen für eine Lake Formation-Tabelle zu widerrufen, muss die mit dem externen Schema der Tabelle verknüpfte IAM-Rolle über die Berechtigung verfügen, Rechte für die externe Tabelle zu widerrufen. Im folgenden Beispiel wird ein externes Schema mit einer zugeordneten IAM-Rolle erstellt myGrantor. Die IAM-Rolle myGrantor verfügt über die Berechtigung, anderen Berechtigungen zu widerrufen. Der Befehl REVOKE nutzt die Berechtigung der IAM-Rolle myGrantor, die dem externen Schema zugeordnet ist, um Berechtigungen der IAM-Rolle myGrantee zu widerrufen.

create external schema mySchema
from data catalog
database 'spectrum_db'
iam_role 'arn:aws:iam::123456789012:role/myGrantor'
create external database if not exists;

revoke select
on external table mySchema.mytable
from iam_role 'arn:aws:iam::123456789012:role/myGrantee';

Anmerkung

Wenn die IAM-Rolle auch über die ALL Berechtigung in einer verfügt AWS Glue Data Catalog , die für Lake Formation aktiviert ist, wird die ALL Berechtigung nicht widerrufen. Nur die Berechtigung SELECT wird widerrufen. Sie können die Lake Formation Berechtigungen in der Lake Formation-Konsole anzeigen.

Hinweise zum Widerrufen der Berechtigung ASSUMEROLE

Die folgenden Hinweise gelten für den Entzug der ASSUMEROLE-Berechtigung in Amazon Redshift.

Nur ein Datenbank-Superuser kann die Berechtigung ASSUMEROLE für Benutzer und Gruppen entziehen. Ein Superuser hat immer die Berechtigung ASSUMEROLE.

Um die Verwendung der ASSUMEROLE-Berechtigung für Benutzer und Gruppen zu aktivieren, führt ein Superuser die folgende Anweisung einmalig auf dem Cluster aus. Bevor die ASSUMEROLE-Berechtigung an Benutzer und Gruppen vergeben wird, muss ein Superuser die folgende Anweisung einmalig auf dem Cluster ausführen.

revoke assumerole on all from public for all;

Hinweise zum Widerrufen von Machine-Learning-Berechtigungen

Sie können Berechtigungen für eine ML-Funktion nicht direkt erteilen oder widerrufen. Eine ML-Funktion gehört zu einem ML-Modell, und die Berechtigungen werden über das Modell gesteuert. Stattdessen können Sie Berechtigungen im Zusammenhang mit dem ML-Modell widerrufen. Das folgende Beispiel zeigt, wie für alle Benutzer im Zusammenhang mit dem Modell customer_churn die Ausführungsberechtigung widerrufen wird.

REVOKE EXECUTE ON MODEL customer_churn FROM PUBLIC;

Sie können auch alle Berechtigungen für einen Benutzer für das ML-Modell customer_churn widerrufen.

REVOKE ALL on MODEL customer_churn FROM ml_user;

Das Erteilen oder Widerrufen der Berechtigung EXECUTE für eine ML-Funktion schlägt fehl, wenn das Schema eine ML-Funktion enthält, auch wenn diese ML-Funktion bereits über GRANT EXECUTE ON MODEL über die Berechtigung EXECUTE verfügt. Wir empfehlen, bei Verwendung des Befehls CREATE MODEL ein separates Schema zu verwenden, um die ML-Funktionen in einem separaten Schema zu behalten. Das folgende Beispiel veranschaulicht die Vorgehensweise hierfür.

CREATE MODEL ml_schema.customer_churn
FROM customer_data
TARGET churn
FUNCTION ml_schema.customer_churn_prediction
IAM_ROLE default
SETTINGS (
 S3_BUCKET 'DOC-EXAMPLE-BUCKET'
);