Conditions préalables à la génération de statistiques de colonne

Pour générer ou mettre à jour les statistiques de colonne, la tâche de génération de statistiques assume un rôle (IAM) AWS Identity and Access Management en votre nom. Sur la base des autorisations accordées au rôle, la tâche de génération de statistiques de colonne peut lire les données à partir du magasin de données Amazon S3.

Note

Pour générer des statistiques pour les tables gérées par Lake Formation, le rôle IAM utilisé pour générer des statistiques nécessite un accès complet à la table.

Lorsque vous configurez la tâche de génération de statistiques de AWS Glue colonne, vous pouvez créer un rôle qui inclut la politique AWSGlueServiceRole AWS gérée ainsi que la politique en ligne requise pour la source de données spécifiée. Vous pouvez également créer un rôle et associer les autorisations répertoriées dans la politique ci-dessous, puis ajouter ce rôle à la tâche de génération des statistiques de colonne.

Pour créer un rôle IAM pour générer des statistiques de colonne

1. Pour créer un rôle IAM, consultez Création d'un rôle IAM pour AWS Glue.

2. Pour mettre à jour un rôle existant, dans la console IAM, accédez au rôle IAM utilisé par le processus de génération de statistiques de colonne.

3. Dans la section Ajouter des autorisations, choisissez Attacher des stratégies. Dans la nouvelle fenêtre du navigateur, choisissez la politique AWSGlueServiceRole AWS gérée.

4. Vous devez également inclure les autorisations pour lire les données à partir de l'emplacement de données Amazon S3.

   Dans la section Ajouter des autorisations, choisissez Créer une stratégie. Dans la fenêtre du navigateur nouvellement ouverte, créez une nouvelle stratégie à utiliser avec votre rôle.

5. Sur la page Créer une stratégie, choisissez l'onglet JSON. Copiez le code JSON suivant dans le champ de l'éditeur de stratégie.

   Note

   Dans les politiques suivantes, remplacez l'ID de compte par un identifiant valide Compte AWS, puis region remplacez-le par la région du tableau et bucket-name par le nom du compartiment Amazon S3.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "S3BucketAccess",
               "Effect": "Allow",
               "Action": [
                   "s3:ListBucket",
                   "s3:GetObject"
               ],
               "Resource": [
                   "arn:aws:s3:::<bucket-name>/*",
                   "arn:aws:s3:::<bucket-name>"
               ]
           }
        ]
   }                           

6. (Facultatif) Si vous utilisez les autorisations Lake Formation pour accéder à vos données, le rôle IAM nécessite des autorisations lakeformation:GetDataAccess.

   {
       "Version": "2012-10-17",
       "Statement": [
          {
               "Sid": "LakeFormationDataAccess",
               "Effect": "Allow",
               "Action": "lakeformation:GetDataAccess",
               "Resource": [
                   "*"
               ]
           }
       ]
   }                         
                     

   Si l'emplacement des données Amazon S3 est enregistré auprès de Lake Formation et que le rôle IAM assumé par la tâche de génération de statistiques de colonne ne dispose pas d'autorisations de groupe IAM_ALLOWED_PRINCIPALS accordées sur la table, le rôle nécessite Lake Formation ALTER et des autorisations DESCRIBE sur la table. Le rôle utilisé pour enregistrer le compartiment Amazon S3 nécessite Lake Formation INSERT et des autorisations DELETE sur la table.

   Si l'emplacement des données Amazon S3 n'est pas enregistré auprès de Lake Formation et que le rôle IAM ne dispose pas d'autorisations de groupe IAM_ALLOWED_PRINCIPALS accordées sur la table, le rôle nécessite les autorisations Lake Formation ALTER, DESCRIBE, INSERT et DELETE sur la table.

7. (Facultatif) La tâche de génération de statistiques de colonne qui écrit Amazon CloudWatch Logs chiffré nécessite les autorisations suivantes dans la stratégie de clé.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "CWLogsKmsPermissions",
           "Effect":  "Allow", 
           "Action": [
               "logs:CreateLogGroup",
               "logs:CreateLogStream",
               "logs:PutLogEvents",
               "logs:AssociateKmsKey"                
           ],
           "Resource": [
               "arn:aws:logs:<region>:111122223333:log-group:/aws-glue:*"
           ]
       },
       {
           "Sid": "KmsPermissions",
           "Effect": "Allow",
           "Action": [
               "kms:GenerateDataKey",
               "kms:Decrypt",  
               "kms:Encrypt"
           ],
           "Resource": [
           "arn:aws:kms:<region>:111122223333:key/"arn of key used for ETL cloudwatch encryption"
           ],
           "Condition": {
               "StringEquals": {
                   "kms:ViaService": ["glue.<region>.amazonaws.com"]
               }
           }
       }
       ]
   }          
     

8. Le rôle que vous utilisez pour exécuter les statistiques des colonnes doit disposer de l'iam:PassRoleautorisation correspondante.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Effect": "Allow",
           "Action": [
               "iam:PassRole"
           ],
           "Resource": [
               "arn:aws:iam::111122223333:role/<columnstats-role-name>"
           ]
       }]
   }                    
                   

9. Lorsque vous créez un rôle IAM pour générer des statistiques de colonne, ce rôle doit également avoir la stratégie d'approbation suivante qui permet au service d'assumer le rôle.

   {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "TrustPolicy",
           "Effect": "Allow",
           "Principal": {
             "Service": "glue.amazonaws.com"
           },
           "Action": "sts:AssumeRole",        
         }
      ]
   }