Acceso a los datos subyacentes de una tabla compartida

Supongamos que la AWS cuenta A comparte una tabla del catálogo de datos con la cuenta B, por ejemplo, concediéndola SELECT con la opción de concesión de la tabla a la cuenta B. Para que un principal de la cuenta B pueda leer los datos subyacentes de la tabla compartida, se deben cumplir las siguientes condiciones:

• El administrador del lago de datos de la cuenta B debe aceptar el uso compartido. (Esto no es necesario si las cuentas A y B pertenecen a la misma organización o si la concesión se efectuó con el método de control de acceso basado en etiquetas de Lake Formation).

• El administrador del lago de datos debe volver a conceder a la entidad principal el permiso SELECT de Lake Formation que la cuenta A concedió en la tabla compartida.

• El principal debe tener los siguientes IAM permisos en la tabla, en la base de datos que la contiene y en la cuenta A Data Catalog.

  nota

  En la siguiente IAM política:

  • Reemplazar <account-id-A> con el ID de AWS cuenta de la cuenta A.

  • Reemplazar <region> con una región válida.

  • Reemplazar <database> con el nombre de la base de datos de la cuenta A que contiene la tabla compartida.

  • Reemplazar <table> con el nombre de la tabla compartida.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
            "Effect": "Allow",
            "Action": [
              "glue:GetTable",
              "glue:GetTables",
              "glue:GetPartition",
              "glue:GetPartitions",
              "glue:BatchGetPartition",
              "glue:GetDatabase",
              "glue:GetDatabases"
             ],
             "Resource": [
              "arn:aws:glue:<region>:<account-id-A>:table/<database>/<table>",
              "arn:aws:glue:<region>:<account-id-A>:database/<database>",
              "arn:aws:glue:<region>:<account-id-A>:catalog"
             ]
          },
          {
            "Effect": "Allow",
            "Action": [
              "lakeformation:GetDataAccess"
             ],
            "Resource": [
              "*"
             ],
            "Condition": {
              "StringEquals": {
                "lakeformation:GlueARN":"arn:aws:glue:<region>:<account-id-A>:table/<database>/<table>"
              }
          }
      }
     ]
  }

Consulte también:

• Aceptar una invitación para compartir recursos de AWS RAM