Memberikan izin database menggunakan metode sumber daya bernama

Langkah-langkah berikut menjelaskan cara memberikan izin database dengan menggunakan metode sumber daya bernama.

Console

Gunakan halaman izin danau data Grant di konsol Lake Formation. Halaman ini dibagi menjadi beberapa bagian berikut:

• Prinsipal — Pengguna IAM, peran, pengguna dan grup IAM Identity Center, pengguna dan grup SAFL, AWS akun, organisasi, atau unit organisasi untuk memberikan izin.

• Tag LF atau sumber daya katalog — Database, tabel, tampilan, atau tautan sumber daya untuk memberikan izin.

• Izin — Izin Lake Formation untuk diberikan.

catatan

Untuk memberikan izin pada tautan sumber daya database, lihatMemberikan izin tautan sumber daya.

1. Buka halaman izin danau data Grant.

   Buka AWS Lake Formation konsol di https://console.aws.amazon.com/lakeformation/, dan masuk sebagai administrator data lake, pembuat database, atau pengguna IAM yang memiliki izin Grantable pada database.

   Lakukan salah satu hal berikut ini:

   • Di panel navigasi, di bawah Izin, pilih Izin danau data. Kemudian pilih Grant.

   • Di panel navigasi, pilih Database di bawah Katalog Data. Kemudian, pada halaman Database, pilih database, dan dari menu Tindakan, di bawah Izin, pilih Hibah.

   catatan

   Anda dapat memberikan izin pada database melalui tautan sumber dayanya. Untuk melakukannya, pada halaman Database, pilih tautan sumber daya, dan pada menu Tindakan, pilih Hibah sesuai target. Untuk informasi selengkapnya, lihat Cara kerja tautan sumber daya di Lake Formation.

2. Selanjutnya, di bagian Prinsipal, pilih jenis utama dan kemudian tentukan prinsipal untuk memberikan izin.

   

   Pengguna dan peran IAM

   Pilih satu atau beberapa pengguna atau peran dari daftar pengguna dan peran IAM.

   Pusat Identitas IAM

   Pilih satu atau beberapa pengguna atau grup dari daftar Pengguna dan grup. Pilih Tambah untuk menambahkan lebih banyak pengguna atau grup.

   Pengguna dan grup SALL

   Untuk QuickSight pengguna dan grup SAFL dan Amazon, masukkan satu atau beberapa Nama Sumber Daya Amazon (ARNs) untuk pengguna atau grup yang digabungkan melalui SALL, atau untuk QuickSight pengguna atau grup ARNs Amazon. Tekan Enter setelah setiap ARN.

   Untuk informasi tentang cara membangun ARNs, lihatLake Formation memberikan dan mencabut perintah AWS CLI.

   catatan

   Integrasi Lake Formation dengan Amazon hanya QuickSight didukung untuk Amazon QuickSight Enterprise Edition.

   Akun eksternal

   Untuk Akun AWS, AWS organisasi, atau IAM Principal masukkan satu atau lebih AWS akun IDs, organisasi, unit organisasi IDs IDs, atau ARN yang valid untuk pengguna atau peran IAM. Tekan Enter setelah setiap ID.

   ID organisasi terdiri dari “o-” diikuti oleh 10-32 huruf kecil atau digit.

   ID unit organisasi dimulai dengan “ou-” diikuti oleh 4-32 huruf kecil atau digit (ID dari root yang berisi OU). String ini diikuti oleh tanda hubung “-” kedua dan 8 hingga 32 huruf kecil atau digit tambahan.

3. Di bagian LF-tag atau sumber katalog, pilih Sumber daya katalog data bernama.

   

4. Pilih satu atau beberapa database dari daftar Database. Anda juga dapat memilih satu atau beberapa Tabel dan/atau filter Data.

5. Di bagian Izin, pilih izin dan izin yang dapat diberikan. Di bawah Izin database, pilih satu atau beberapa izin untuk diberikan.

   

   catatan

   Setelah memberikan Create Table atau Alter pada database yang memiliki properti lokasi yang menunjuk ke lokasi terdaftar, pastikan juga untuk memberikan izin lokasi data pada lokasi kepada prinsipal. Untuk informasi selengkapnya, lihat Memberikan izin lokasi data.

6. (Opsional) Di bawah Izin yang Dapat Diberikan, pilih izin yang dapat diberikan oleh penerima hibah kepada prinsipal lain di akun mereka. AWS Opsi ini tidak didukung saat Anda memberikan izin kepada prinsipal IAM dari akun eksternal.

7. PilihIzin.

AWS CLI

Anda dapat memberikan izin database dengan menggunakan metode sumber daya bernama dan AWS Command Line Interface (AWS CLI).

Untuk memberikan izin database menggunakan AWS CLI

• Jalankan grant-permissions perintah, dan tentukan database atau Katalog Data sebagai sumber daya, tergantung pada izin yang diberikan.

  Dalam contoh berikut, ganti <account-id> dengan ID AWS akun yang valid.

  contoh — Hibah untuk membuat database

  Contoh ini diberikan CREATE_DATABASE kepada penggunadatalake_user1. Karena sumber daya di mana izin ini diberikan adalah Katalog Data, perintah menentukan CatalogResource struktur kosong sebagai resource parameter.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::<account-id>:user/datalake_user1 --permissions "CREATE_DATABASE" --resource '{ "Catalog": {}}'

  contoh — Hibah untuk membuat tabel dalam database yang ditunjuk

  Contoh berikutnya memberikan CREATE_TABLE pada database retail kepada penggunadatalake_user1.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:iam::<account-id>:user/datalake_user1 --permissions "CREATE_TABLE" --resource '{ "Database": {"Name":"retail"}}'
  

  contoh — Berikan ke AWS akun eksternal dengan opsi Hibah

  Contoh berikutnya memberikan opsi hibah CREATE_TABLE pada database ke akun eksternal retail 1111-2222-3333.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333 --permissions "CREATE_TABLE" --permissions-with-grant-option "CREATE_TABLE" --resource '{ "Database": {"Name":"retail"}}'

  contoh — Hibah untuk organisasi

  Contoh berikutnya memberikan opsi hibah pada database issues ke organisasio-abcdefghijkl. ALTER

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=arn:aws:organizations::111122223333:organization/o-abcdefghijkl --permissions "ALTER" --permissions-with-grant-option "ALTER" --resource '{ "Database": {"Name":"issues"}}'

  contoh - ALLIAMPrincipals Hibah ke akun yang sama

  Contoh berikutnya memberikan CREATE_TABLE izin pada database retail ke semua kepala sekolah di akun yang sama. Opsi ini memungkinkan setiap prinsipal dalam akun untuk membuat tabel dalam database dan membuat tautan sumber daya tabel yang memungkinkan mesin kueri terintegrasi untuk mengakses database dan tabel bersama. Opsi ini sangat berguna ketika kepala sekolah menerima hibah lintas akun, dan tidak memiliki izin untuk membuat tautan sumber daya. Dalam skenario ini, administrator data lake dapat membuat database placeholder dan memberikan CREATE_TABLE izin ke ALLIAMPrincipal grup, memungkinkan setiap prinsipal IAM di akun untuk membuat tautan sumber daya di database placeholder.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333:IAMPrincipals --permissions "CREATE_TABLE"  --resource '{ "Database": {"Name":"temp","CatalogId":"111122223333"}}' 

  contoh - ALLIAMPrincipals Hibah ke akun eksternal

  Contoh berikutnya memberikan CREATE_TABLE pada database retail ke semua kepala sekolah di akun eksternal. Opsi ini memungkinkan setiap prinsipal dalam akun untuk membuat tabel dalam database.

  aws lakeformation grant-permissions --principal DataLakePrincipalIdentifier=111122223333:IAMPrincipals --permissions "CREATE_TABLE"  --resource '{ "Database": {"Name":"retail","CatalogId":"123456789012"}}'

catatan

Setelah memberikan CREATE_TABLE atau ALTER pada database yang memiliki properti lokasi yang menunjuk ke lokasi terdaftar, pastikan juga untuk memberikan izin lokasi data pada lokasi kepada prinsipal. Untuk informasi selengkapnya, lihat Memberikan izin lokasi data.

Lihat juga

• Referensi izin Lake Formation

• Memberikan izin pada database atau tabel yang dibagikan dengan akun Anda

• Mengakses dan melihat tabel dan database Katalog Data bersama