Conditions préalables

Votre cluster de base de données Aurora PostgreSQL peut lire les données Iceberg et Parquet depuis Amazon S3, Amazon S3 Tables, et AWS Glue Data Catalog ce en votre nom. Avant de demander ces données, le cluster a besoin de trois éléments : un moyen de s'authentifier auprès de ces services, une version du moteur incluant l'aurora_analyticsextension et un chemin réseau depuis votre VPC pour y accéder. Les sections suivantes vous expliquent comment créer une politique et un rôle IAM qui accordent un accès en lecture aux données spécifiques que vous souhaitez interroger, associer ce rôle à votre cluster de bases de données, activer l'extension dans le groupe de paramètres de votre cluster de bases de données et configurer le chemin réseau que votre cluster utilise pour atteindre Amazon S3 et AWS Glue. Vous pouvez effectuer ces étapes sur n'importe quel cluster de base de données Aurora PostgreSQL existant répondant aux exigences de version.

Vue d'ensemble des étapes de configuration

Les étapes de configuration de haut niveau sont les suivantes :

1. Créez une politique IAM qui accorde un accès en lecture à vos données.

2. Créez un rôle IAM et associez cette politique.

3. Attachez le rôle IAM au cluster de base de données Aurora.

4. Configurez le réseau (points de terminaison VPC) si votre cluster se trouve dans un sous-réseau privé.

5. Activez l'aurora_analyticsextension dans le groupe de paramètres du cluster de base de données.

Création d’une politique IAM

Créez une politique IAM qui accorde à l'extension un accès en lecture à Amazon S3, et éventuellement à AWS Glue Data Catalog Amazon S3 Tables, en fonction du format de vos données et de l'endroit où elles sont stockées.

Les privilèges minimaux dépendent de la manière dont vous référencez les données : le format des données (Parquet ou Iceberg), la source (Amazon S3 ou Amazon S3 Tables) et le fait que vous pointez vers un seul fichier ou un répertoire. AWS Glue Data Catalog Le tableau suivant répertorie les privilèges de rôle IAM minimaux pour les scénarios courants impliquant un même compte :

Privilèges de rôle IAM minimaux par source

Source	Privilèges minimaux
Amazon S3, fichier unique (s3://bucket/path/data.parquet)	s3:GetObject
Amazon S3, annuaire ou globe () s3://bucket/path/	s3:GetObject, s3:ListBucket
AWS Glue Data Catalog (arn:aws:glue:us-east-1:123456789012:table/mydb/mytable)	glue:GetTable+ Privilèges Amazon S3 ci-dessus
Tables Amazon S3, ARN direct (arn:aws:s3tables:us-east-1:123456789012:bucket/mybucket/table/table_id)	s3tables:GetTable, s3tables:GetTableBucket, s3tables:GetTableData, s3tables:GetNamespace
Amazon S3 Tables, via l'ARN du AWS Glue catalogue (arn:aws:glue:us-east-1:123456789012:table/s3tablescatalog/mybucket/myns/mytable)	glue:GetTable+ s3tables privilèges ci-dessus

Note

s3:ListBucketn'est nécessaire que lorsque l'extension répertorie un préfixe Amazon S3 pour découvrir des fichiers (par exemple, un répertoire Parquet ou un accès global). Iceberg résout les chemins de fichiers exacts à partir de ses manifestes, ce qui signifie que ce n's3:ListBucketest pas obligatoire.

Note

Si vos données sont chiffrées avec SSE-KMS, ajoutez kms:Decrypt la clé KMS.

Note

Des privilèges supplémentaires sont requis pour IMPORT FOREIGN SCHEMA (glue:GetTablesous3tables:ListTables), l'accès entre comptes, l'accès basé sur des politiques de ressources et les tables Lake. Formation-governed

Pour des exemples de politiques détaillés, voirRéférence des politiques IAM. Pour plus d'informations sur la création de politiques IAM, consultez la section Création de politiques IAM dans le Guide de l'utilisateur IAM.

Création d’un rôle IAM

Créez un rôle IAM qu'Aurora peut assumer pour accéder à vos données Amazon S3 au nom de l'extension.

Pour créer un rôle IAM à l'aide du AWS Console de gestion

1. Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

2. Dans le volet de navigation, choisissez Rôles, puis Create role.

3. Pour Type d’entité de confiance, choisissez Service AWS .

4. Pour Cas d'utilisation, choisissez RDS dans la liste des services.

5. Choisissez RDS - Ajouter un rôle à la base de données dans les options de cas d'utilisation.

6. Choisissez Suivant.

7. Sélectionnez la politique que vous avez créée dansCréation d’une politique IAM. Vous pouvez également choisir des politiques d'autorisation prédéfinies telles que AmazonS3ReadOnlyAccesset AWSGlueConsoleFullAccess.

8. Choisissez Suivant.

9. Dans Nom du rôle, entrez le nom du rôle (par exemple,AuroraAnalyticsRole).

10. Choisissez Créer un rôle.

Pour créer un rôle IAM à l'aide du AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

1. Créez un rôle nommé AuroraAnalyticsRole :

   aws iam create-role \
     --role-name AuroraAnalyticsRole \
     --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "rds.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }'

2. Attachez la stratégie au rôle :

   aws iam attach-role-policy \
     --role-name AuroraAnalyticsRole \
     --policy-arn arn:aws:iam::123456789012:policy/AuroraAnalyticsReadAccess

Notez l'ARN du rôle. Vous en avez besoin lorsque vous attachez le rôle à votre cluster de base de données Aurora. Pour plus d’informations, consultez Création de rôles IAM dans le Guide de l’utilisateur IAM.

Attacher le rôle IAM au cluster de base de données Aurora

Après avoir créé le cluster de base de données, associez le rôle IAM que vous avez créé pour l'extension.

Pour associer le rôle IAM à l'aide du AWS Console de gestion

1. Ouvrez la console Amazon RDS à l'adresse https://console.aws.amazon.com/rds/.

2. Dans le volet de navigation, choisissez Databases, puis le nom de votre cluster de bases de données Aurora PostgreSQL.

3. Dans l'onglet Connectivity & security (Connectivité et sécurité) de la section Gérer les rôles IAM, choisissez le rôle à ajouter sous Ajouter des rôes IAM à ce cluster.

4. Dans Feature, sélectionnez AuroraAnalytics.

5. Choisissez Ajouter un rôle.

Pour associer le rôle IAM à l'aide du AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

• aws rds add-role-to-db-cluster \
    --region us-east-1 \
    --db-cluster-identifier my-analytics-cluster \
    --feature-name AuroraAnalytics \
    --role-arn arn:aws:iam::123456789012:role/AuroraAnalyticsRole

Le statut du rôle IAM s'affiche comme Actif une fois qu'il est correctement attaché. Pour plus d'informations, consultez la section add role-to-db-cluster dans le manuel de référence des commandes de la CLI.AWS

Configuration de la mise en réseau

Lorsque votre cluster de base de données Aurora est déployé dans un sous-réseau privé, il a besoin d'un chemin réseau pour atteindre Amazon S3 et (éventuellement) AWS Glue. Vous pouvez le fournir via des points de terminaison VPC (recommandé) ou via une passerelle NAT.

Les points de terminaison VPC maintiennent le trafic sur le AWS réseau sans passer par l'Internet public, et les points de terminaison d'une passerelle Amazon S3 ne sont soumis à aucun frais horaire supplémentaire, ce qui en fait l'approche recommandée. Une passerelle NAT fonctionne également si votre VPC achemine déjà le trafic sortant via une passerelle, mais qu'il envoie le trafic via un chemin public et entraîne des frais de traitement des données NAT. Le reste de cette section décrit la configuration du point de terminaison VPC. Pour plus d'informations sur les passerelles NAT, consultez Passerelles NAT.

Points de terminaison VPC requis

Service	Type de point de terminaison	Nécessaire pour
Amazon S3 (com.amazonaws.region.s3)	Passerelle	Accès aux données Amazon S3 et Amazon S3 Tables
AWS Glue (com.amazonaws.region.glue)	Interface	AWS Glue Data Catalog accès

Création d'un point de terminaison de passerelle Amazon S3

Créez un point de terminaison de passerelle Amazon S3 et associez-le aux tables de routage utilisées par les sous-réseaux de votre cluster de base de données Aurora.

Pour plus d'informations, consultez la section Création d'un point de terminaison de passerelle pour Amazon S3 dans le AWS PrivateLink Guide.

Création d'un AWS Glue point final de l'interface

Si vous utilisez AWS Glue Data Catalog, créez un point de terminaison d'interface AWS Glue VPC avec la configuration suivante :

• Déployez dans les mêmes sous-réseaux que votre cluster de base de données Aurora.

• Activez le DNS privé.

• Associez un groupe de sécurité qui autorise le trafic entrant sur le port TCP 443 à partir de votre bloc d'adresse CIDR VPC ou du même groupe de sécurité que celui utilisé par votre cluster de base de données Aurora PostgreSQL.

Pour plus d'informations, consultez la section Création d'un point de terminaison d'interface dans le AWS PrivateLink Guide.

Activation de la fonctionnalité dans le groupe de paramètres

Par défaut, le paramètre aurora_analytics.enabled est défini sur false. Après avoir créé le cluster de base de données, activez la fonctionnalité en définissant ce paramètre sur true dans le groupe de paramètres du cluster de base de données.

Pour activer la fonctionnalité à l'aide du AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

• aws rds modify-db-cluster-parameter-group \
    --db-cluster-parameter-group-name my-analytics-params \
    --parameters "ParameterName=aurora_analytics.enabled,ParameterValue=true,ApplyMethod=immediate"

En tant que paramètre dynamique, aurora_analytics.enabled s'applique immédiatement sans redémarrage.

Note

Cela s'applique lorsque votre cluster de base de données utilise un groupe de paramètres de cluster de base de données personnalisé. Vous ne pouvez pas modifier le groupe de paramètres par défaut. Si votre cluster utilise toujours la valeur par défaut, créez d'abord un groupe de paramètres de cluster de base de données personnalisé et associez-le au cluster. L'association d'un autre groupe de paramètres nécessite un redémarrage des instances de base de données pour que le nouveau groupe prenne effet, même aurora_analytics.enabled s'il est lui-même dynamique. Pour plus d'informations, consultez la section Utilisation des groupes de paramètres de cluster de base de données dans le guide de l'utilisateur d'Aurora.

Pour activer la fonctionnalité à l'aide du AWS Console de gestion

1. Ouvrez la console Amazon RDS à l'adresse https://console.aws.amazon.com/rds/.

2. Dans le panneau de navigation, choisissez Groupes de paramètres.

3. Choisissez le groupe de paramètres associé à votre cluster de base de données Aurora.

4. Recherchez aurora_analytics.enabled.

5. Définissez la valeur sur true.

6. Cliquez sur Enregistrer les modifications.

Étapes suivantes

Après avoir effectué ces étapes, vous êtes prêt à commencer. Pour plus d’informations, consultez Prise en main.

Pour obtenir des conseils sur le choix de la classe d'instance de base de données et le dimensionnement adaptés à votre charge de travail, consultezBonnes pratiques.