Solucionar los errores del rastreador cuando éste utiliza las credenciales de Lake Formation

Utilice la siguiente información para diagnosticar y solucionar varios problemas al configurar el rastreador mediante las credenciales de Lake Formation.

Error: la ubicación de S3: s3://examplepath no está registrada

Para que un rastreador se ejecute con las credenciales de Lake Formation, primero debe configurar los permisos de Lake Formation. Para resolver este error, registre la ubicación de Amazon S3 de destino con Lake Formation. Para obtener más información, consulte Registering an Amazon S3 location (Registro de una ubicación de Amazon S3).

Error: el usuario o rol no está autorizado a realizar: lakeformation:GetDataAccess en el recurso

Añada el permiso lakeformation:GetDataAccess del rol de rastreador con la consola de IAM o AWS CLI. Con este permiso, Lake Formation concede la solicitud de credenciales temporales para acceder a los datos. Consulte la política siguiente:

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "lakeformation:GetDataAccess"
    ],
    "Resource": "*"
  }
}

Error: permisos insuficientes para la formación de lagos en (Nombre de la base de datos: exampleDatabase, Nombre de la tabla: exampleTable)

En la consola de Lake Formation (https://console.aws.amazon.com/lakeformation/), conceda permisos de acceso al rol de rastreador ( Create, Describe, Alter) en la base de datos, que se especifica como la base de datos de salida. También puede conceder permisos a la tabla. Para obtener más información, consulte Concesión de permisos de base de datos mediante la consola de Lake Formation y el método de recurso con nombre.

Error: permisos de Lake Formation insuficientes en s3://examplepath

1. Rastreo entre cuentas

   1. Inicie sesión en la consola de Lake Formation (https://console.aws.amazon.com/lakeformation/) mediante la cuenta en la que está registrado el bucket de Amazon S3 (cuenta B). Conceda permisos de Data location (Ubicación de datos) a la cuenta en la que se vaya a ejecutar el rastreador. Esto permitirá al rastreador leer los datos de la ubicación de Amazon S3 de destino.

   2. En la cuenta donde esté creado el rastreador (cuenta A), conceda a Data location (ubicación de los datos) permisos en la ubicación de Amazon S3 de destino para el rol de IAM que se usa para la ejecución del rastreador, de modo que el rastreador pueda leer los datos del destino en Lake Formation. Para más información, consulte Concesión de permisos de ubicación de datos (misma cuenta).

2. Rastreo en cuenta (el rastreador y la ubicación de Amazon S3 registrada están en la misma cuenta) ‐ Conceda a Data location (ubicación de los datos) permisos para el rol de IAM que se usa en la ejecución del rastreador en la ubicación de Amazon S3, de modo que el rastreador pueda leer los datos del destino en Lake Formation. Para obtener más información, consulte Granting data location permissions (same account) (Concesión de permisos de ubicación de datos [misma cuenta]).

Preguntas frecuentes sobre la configuración del rastreador con las credenciales de Lake Formation

1. ¿Cómo configuro un rastreador para que se ejecute con las credenciales de Lake Formation mediante la consola AWS?

   En la consola de AWS Glue (https://console.aws.amazon.com/glue/), al configurar el rastreador, seleccione la opción Use Lake Formation credentials for crawling Amazon S3 data source (Utilizar credenciales de Lake Formation para rastrear un origen de datos de Amazon S3). Para el rastreo entre cuentas, especifique el ID de la Cuenta de AWS donde esté registrada la ubicación de Amazon S3 de destino en Lake Formation. Para realizar el rastreo en cuenta, el campo accountId es opcional.

2. ¿Cómo configuro un rastreador para que se ejecute con las credenciales de Lake Formation mediante AWS CLI?

   Durante la llamada a la API CreateCrawler, agregue LakeFormationConfiguration:

   "LakeFormationConfiguration": {
       "UseLakeFormationCredentials": true,
       "AccountId": "111111111111" (AWS account ID where the target Amazon S3 location is registered with Lake Formation)
     }     

3. ¿Cuáles son los objetivos admitidos por un rastreador que utiliza las credenciales de Lake Formation?

   Un rastreador que utilice las credenciales de Lake Formation solo es compatible con Amazon S3 (rastreo dentro y entre cuentas) y para los destinos del catálogo de datos de la cuenta (donde la ubicación subyacente es Amazon S3) y destinos Apache Iceberg.

4. ¿Puedo rastrear varios depósitos de Amazon S3 como parte de un único rastreador con las credenciales de Lake Formation?

   No, para los objetivos de rastreo que utilizan la venta de credenciales de Lake Formation, las ubicaciones subyacentes de Amazon S3 deben pertenecer al mismo bucket. Por ejemplo, los clientes pueden utilizar varias ubicaciones de destino (s3://bucket1/folder1, s3://bucket1/folder2) si están debajo del mismo bucket (bucket 1). No se admite la especificación de diferentes buckets (s3://bucket1/carpeta1, s3://bucket2/carpeta2).