Prasyarat

Cluster Aurora PostgreSQL DB Anda dapat membaca data Gunung Es dan Parket dari Amazon S3, Tabel Amazon S3, dan atas nama Anda. AWS Glue Data Catalog Sebelum Anda menanyakan data tersebut, cluster membutuhkan tiga hal: cara untuk mengautentikasi ke layanan tersebut, versi mesin yang menyertakan aurora_analytics ekstensi, dan jalur jaringan dari VPC Anda untuk mencapainya. Bagian berikut memandu Anda dalam membuat kebijakan dan peran IAM yang memberikan akses baca ke data spesifik yang ingin Anda kueri, melampirkan peran itu ke cluster DB Anda, mengaktifkan ekstensi di grup parameter cluster DB Anda, dan mengonfigurasi jalur jaringan yang digunakan cluster Anda untuk mencapai Amazon S3 dan. AWS Glue Anda dapat menyelesaikan langkah-langkah ini pada cluster Aurora PostgreSQL DB yang ada yang memenuhi persyaratan versi.

Ikhtisar langkah-langkah pengaturan

Langkah-langkah pengaturan tingkat tinggi adalah sebagai berikut:

1. Buat kebijakan IAM yang memberikan akses baca ke data Anda.

2. Buat peran IAM dan lampirkan kebijakan itu.

3. Lampirkan peran IAM ke cluster Aurora DB.

4. Siapkan jaringan (titik akhir VPC) jika cluster Anda berada di subnet pribadi.

5. Aktifkan aurora_analytics ekstensi di grup parameter cluster DB.

Membuat kebijakan IAM

Buat kebijakan IAM yang memberikan akses baca ekstensi ke Amazon S3, dan secara opsional ke atau Tabel AWS Glue Data Catalog Amazon S3, tergantung pada format data Anda dan tempat penyimpanannya.

Hak istimewa minimum tergantung pada bagaimana Anda mereferensikan data: format data (Parket atau Gunung Es), sumber (Amazon S3,, atau Tabel AWS Glue Data Catalog Amazon S3), dan apakah Anda menunjuk pada satu file atau direktori. Tabel berikut mencantumkan hak istimewa peran IAM minimum untuk skenario akun yang sama umum:

Hak istimewa peran IAM minimum menurut sumber

Sumber	Hak istimewa minimum
Amazon S3, file tunggal () s3://bucket/path/data.parquet	s3:GetObject
Amazon S3, direktori atau glob () s3://bucket/path/	s3:GetObject, s3:ListBucket
AWS Glue Data Catalog (arn:aws:glue:us-east-1:123456789012:table/mydb/mytable)	glue:GetTable+ Hak istimewa Amazon S3 di atas
Tabel Amazon S3, ARN langsung () arn:aws:s3tables:us-east-1:123456789012:bucket/mybucket/table/table_id	s3tables:GetTable, s3tables:GetTableBucket, s3tables:GetTableData, s3tables:GetNamespace
Tabel Amazon S3, melalui katalog AWS Glue ARN () arn:aws:glue:us-east-1:123456789012:table/s3tablescatalog/mybucket/myns/mytable	glue:GetTable+ s3tables hak istimewa di atas

catatan

s3:ListBuckethanya diperlukan ketika ekstensi mencantumkan awalan Amazon S3 untuk menemukan file (misalnya, direktori Parket atau akses glob). Iceberg menyelesaikan jalur file yang tepat dari manifestasnya, yang berarti s3:ListBucket tidak diperlukan.

catatan

Jika data Anda dienkripsi SSE-KMS, tambahkan kms:Decrypt tombol KMS.

catatan

Hak istimewa tambahan diperlukan untuk IMPORT FOREIGN SCHEMA (glue:GetTablesataus3tables:ListTables), akses lintas akun, akses berbasis kebijakan sumber daya, dan tabel Danau. Formation-governed

Untuk contoh kebijakan terperinci, lihatReferensi kebijakan IAM. Untuk informasi selengkapnya tentang membuat kebijakan IAM, lihat Membuat kebijakan IAM di Panduan Pengguna IAM.

Membuat peran IAM

Buat peran IAM yang dapat diasumsikan Aurora untuk mengakses data Amazon S3 Anda atas nama ekstensi.

Untuk membuat peran IAM menggunakan AWS Konsol Manajemen

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Peran, lalu pilih Buat peran.

3. Untuk jenis entitas Tepercaya, pilih AWS layanan.

4. Untuk kasus penggunaan, pilih RDS dari daftar layanan.

5. Pilih RDS - Tambahkan Peran ke Database dari opsi kasus penggunaan.

6. Pilih Berikutnya.

7. Pilih kebijakan yang Anda buatMembuat kebijakan IAM. Anda juga dapat memilih kebijakan izin yang telah dibuat sebelumnya seperti AmazonS3ReadOnlyAccessdan. AWSGlueConsoleFullAccess

8. Pilih Berikutnya.

9. Untuk nama Peran, masukkan nama untuk peran (misalnya,AuroraAnalyticsRole).

10. Pilih Buat peran.

Untuk membuat peran IAM menggunakan AWS CLI

1. Buat peran bernamaAuroraAnalyticsRole:

   aws iam create-role \
     --role-name AuroraAnalyticsRole \
     --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "rds.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }'

2. Lampirkan kebijakan ke peran:

   aws iam attach-role-policy \
     --role-name AuroraAnalyticsRole \
     --policy-arn arn:aws:iam::123456789012:policy/AuroraAnalyticsReadAccess

Perhatikan ARN peran. Anda membutuhkannya saat Anda melampirkan peran ke cluster Aurora DB Anda. Untuk informasi selengkapnya, lihat Membuat peran IAM di Panduan Pengguna IAM.

Melampirkan peran IAM ke cluster Aurora DB

Setelah Anda membuat cluster DB, kaitkan peran IAM yang Anda buat untuk ekstensi.

Untuk melampirkan peran IAM menggunakan AWS Konsol Manajemen

1. Buka konsol Amazon RDS di https://console.aws.amazon.com/rds/.

2. Di panel navigasi, pilih Databases, lalu pilih nama cluster Aurora PostgreSQL DB Anda.

3. Pada tab Konektivitas & keamanan, di bagian Kelola IAM role, pilih peran yang akan ditambahkan di bawah Tambahkan IAM role ke klaster ini.

4. Untuk Fitur, pilih AuroraAnalytics.

5. Pilih Tambahkan peran.

Untuk melampirkan peran IAM menggunakan AWS CLI

• aws rds add-role-to-db-cluster \
    --region us-east-1 \
    --db-cluster-identifier my-analytics-cluster \
    --feature-name AuroraAnalytics \
    --role-arn arn:aws:iam::123456789012:role/AuroraAnalyticsRole

Status peran IAM ditampilkan sebagai Aktif setelah berhasil dilampirkan. Untuk informasi selengkapnya, lihat add-role-to-db-cluster di Referensi Perintah CLI.AWS

Mengatur jaringan

Saat klaster Aurora DB Anda digunakan di subnet pribadi, diperlukan jalur jaringan untuk mencapai Amazon S3 dan (opsional). AWS Glue Anda dapat menyediakan ini dengan titik akhir VPC (disarankan) atau melalui gateway NAT.

Titik akhir VPC menjaga lalu lintas di AWS jaringan tanpa melintasi internet publik, dan titik akhir gateway Amazon S3 tidak memiliki biaya tambahan per jam, yang menjadikannya pendekatan yang disarankan. Gateway NAT juga berfungsi jika VPC Anda sudah merutekan lalu lintas keluar melalui satu, tetapi mengirimkan lalu lintas melalui jalur publik dan menimbulkan biaya pemrosesan data NAT. Sisa bagian ini menjelaskan pengaturan titik akhir VPC. Untuk informasi lebih lanjut tentang gateway NAT, lihat gateway NAT.

Titik akhir VPC yang diperlukan

Layanan	Tipe titik akhir	Diperlukan untuk
Amazon S3 () com.amazonaws.region.s3	Gateway	Akses data Amazon S3 dan Amazon S3 Tabel
AWS Glue (com.amazonaws.region.glue)	Antarmuka	AWS Glue Data Catalog akses

Membuat titik akhir gateway Amazon S3

Buat titik akhir gateway Amazon S3 dan kaitkan dengan tabel rute yang digunakan oleh subnet cluster Aurora DB Anda.

Untuk informasi selengkapnya, lihat Membuat titik akhir gateway untuk Amazon S3 di AWS PrivateLink Panduan.

Membuat AWS Glue titik akhir antarmuka

Jika Anda menggunakan AWS Glue Data Catalog, buat titik akhir antarmuka AWS Glue VPC dengan konfigurasi berikut:

• Terapkan di subnet yang sama dengan cluster Aurora DB Anda.

• Aktifkan DNS Pribadi.

• Lampirkan grup keamanan yang memungkinkan lalu lintas masuk pada port TCP 443 dari blok CIDR VPC Anda, atau dari grup keamanan yang sama yang digunakan oleh cluster Aurora PostgreSQL DB Anda.

Untuk informasi selengkapnya, lihat Membuat titik akhir antarmuka di AWS PrivateLink Panduan.

Mengaktifkan fitur di grup parameter

Secara default, parameter aurora_analytics.enabled diatur ke false. Setelah Anda membuat cluster DB, aktifkan fitur dengan mengatur parameter ini ke true dalam grup parameter cluster DB.

Untuk mengaktifkan fitur menggunakan AWS CLI

• aws rds modify-db-cluster-parameter-group \
    --db-cluster-parameter-group-name my-analytics-params \
    --parameters "ParameterName=aurora_analytics.enabled,ParameterValue=true,ApplyMethod=immediate"

Sebagai parameter dinamis, aurora_analytics.enabled berlaku segera tanpa reboot.

catatan

Ini berlaku ketika cluster DB Anda menggunakan grup parameter cluster DB kustom. Anda tidak dapat mengubah grup parameter default. Jika klaster Anda masih menggunakan default, pertama-tama buat grup parameter cluster DB kustom dan kaitkan dengan cluster. Mengaitkan grup parameter yang berbeda memerlukan reboot instance DB agar grup baru diterapkan, meskipun aurora_analytics.enabled itu sendiri dinamis. Untuk informasi selengkapnya, lihat Bekerja dengan grup parameter cluster DB di Panduan Pengguna Aurora.

Untuk mengaktifkan fitur menggunakan AWS Konsol Manajemen

1. Buka konsol Amazon RDS di https://console.aws.amazon.com/rds/.

2. Di panel navigasi, pilih Grup parameter.

3. Pilih grup parameter yang terkait dengan cluster Aurora DB Anda.

4. Cari aurora_analytics.enabled.

5. Atur nilai ke true.

6. Pilih Simpan perubahan.

Langkah selanjutnya

Setelah Anda menyelesaikan langkah-langkah ini, Anda siap untuk memulai. Untuk informasi selengkapnya, lihat Memulai.

Untuk panduan tentang memilih kelas instans DB yang tepat dan ukuran untuk beban kerja Anda, lihat. Praktik terbaik