Unités de partage des données gérées par AWS Lake Formation

PDFRSS

Avec Amazon Redshift, vous pouvez accéder aux données en temps réel et les partager entre différents AWS comptes et clusters AWS Lake Formation Amazon Redshift par le biais de partages de données gérés. AWS Lake Formation les partages de données permettent aux fournisseurs de données de partager en toute sécurité les données en temps réel de leur lac de données Amazon S3 avec n'importe quel consommateur, y compris les autres AWS comptes et les clusters Amazon Redshift.

Vous pouvez ainsi définir et appliquer de manière centralisée les autorisations d'accès aux bases de données, aux tables, aux colonnes et aux lignes des partages de données Amazon Redshift et restreindre l'accès des utilisateurs aux objets d'un partage de données. AWS Lake Formation En partageant des données via Lake Formation, vous pouvez définir des autorisations dans Lake Formation et appliquer ces autorisations à n’importe quelle unité de partage des données et à ses objets. Par exemple, si vous disposez d’une table contenant des informations sur les employés, vous pouvez utiliser les filtres au niveau des colonnes de Lake Formation pour empêcher les employés qui ne travaillent pas dans le service des ressources humaines de voir des données d’identification personnelle (PII), telles qu’un numéro de sécurité sociale. Pour plus d’informations sur les filtres de données, consultez Filtrage des données et sécurité au niveau des cellules dans Lake Formation dans le Guide du développeur AWS Lake Formation .

Vous pouvez également utiliser les identifications dans Lake Formation pour configurer les autorisations sur les ressources de Lake Formation. Pour plus d’informations, consultez Contrôle d’accès basé sur l’identifiant de Lake Formation.

Amazon Redshift prend actuellement en charge le partage des données via Lake Formation au sein d’un même compte ou entre comptes. Le partage inter-régions n’est pas pris en charge actuellement.

Voici un aperçu général de l’utilisation de Lake Formation pour contrôler les autorisations des unités de partage des données :

1. Dans Amazon Redshift, l’administrateur du groupe de travail ou du cluster producteur crée une unité de partage des données sur ce dernier et autorise l’utilisation d’un compte Lake Formation.

2. L’administrateur du groupe de travail ou du cluster producteur autorise le compte Lake Formation à accéder à l’unité de partage des données.

3. L’administrateur Lake Formation découvre et enregistre les unités de partage des données. Ils doivent également découvrir les données AWS Glue ARNs auxquelles ils ont accès et associer les partages de données à un ARN AWS Glue Data Catalog . Si vous utilisez le, AWS CLI vous pouvez découvrir et accepter les partages de données à l'aide des opérations de la CLI Redshift et. describe-data-shares associate-data-share-consumer Pour enregistrer une unité de partage des données, utilisez l’opération CLI register-resource de Lake Formation.

4. L'administrateur de Lake Formation crée une base de données fédérée dans le AWS Glue Data Catalog et configure les autorisations de Lake Formation pour contrôler l'accès des utilisateurs aux objets du partage de données. Pour plus d'informations sur les bases de données fédérées dans AWS Glue, consultez Gestion des autorisations pour les données dans un partage de données Amazon Redshift.

5. L'administrateur de Lake Formation découvre les AWS Glue bases de données auxquelles il a accès et associe le partage de données à un ARN AWS Glue Data Catalog .

6. L'administrateur Redshift découvre la AWS Glue base de données à laquelle ARNs il a accès, crée une base de données externe dans le cluster de consommateurs Amazon Redshift à l'aide d'un ARN de base de données et en autorise l'utilisation aux utilisateurs de la AWS Glue base de données authentifiés avec des informations d'identification IAM pour commencer à interroger la base de données Amazon Redshift.

7. Les utilisateurs de base de données peuvent utiliser les vues SVV_EXTERNAL_TABLES et SVV_EXTERNAL_COLUMNS pour rechercher toutes les tables ou colonnes de la base de AWS Glue données auxquelles ils ont accès, puis ils peuvent interroger les tables de la base de données. AWS Glue

8. Lorsque l'administrateur du cluster de producteurs ou du groupe de travail décide de ne plus partager les données avec le cluster de consommateurs, l'administrateur de producteurs peut révoquer l'utilisation, annuler l'autorisation ou supprimer le partage de données de Redshift. Les autorisations et les objets associés dans Lake Formation ne sont pas automatiquement supprimés.

Pour plus d'informations sur le partage d'un partage de données en AWS Lake Formation tant qu'administrateur d'un cluster de producteurs ou d'un groupe de travail, consultez. Utilisation d’unités de partage des données gérées par Lake Formation en tant que producteur Pour utiliser les données partagées depuis un cluster producteur ou un groupe de travail, consultez Utilisation d’unités de partage des données gérées par Lake Formation en tant que consommateur.