Mengelola LF-Tags kontrol akses metadata

Untuk menggunakan metode kontrol akses (LF-TBAC) berbasis tag Lake Formation untuk mengamankan objek Katalog Data seperti katalog, database, tabel, tampilan, dan kolom, Anda membuat, menetapkannya ke sumber daya LF-Tags, dan memberikan izin kepada prinsipal. LF-Tag

Sebelum Anda dapat menetapkan LF-Tags objek Data Catalog atau memberikan izin kepada prinsipal, Anda perlu menentukan. LF-Tags Hanya administrator data lake atau prinsipal dengan izin LF-Tag pembuat yang dapat membuat LF-Tags.

LF-Tag pencipta

LF-Tag creator adalah prinsipal non-admin yang memiliki izin untuk membuat dan mengelola. LF-Tags Administrator data lake dapat menambahkan LF-Tag kreator menggunakan konsol Lake Formation atau CLI. LF-Tag pembuat konten memiliki izin Lake Formation implisit untuk memperbarui, dan menghapus LF-Tags, untuk menetapkan sumber daya, dan LF-Tags untuk memberikan LF-Tag izin dan izin LF-Tag nilai kepada prinsipal lain.

Dengan peran LF-Tag pembuat, administrator data lake dapat mendelegasikan tugas manajemen tag seperti membuat dan memperbarui kunci dan nilai tag ke prinsipal non-admin. Administrator data lake juga dapat memberikan izin yang dapat diberikan kepada LF-Tag pembuat konten. Create LF-Tag Kemudian, LF-Tag pencipta dapat memberikan izin untuk membuat LF-Tags ke kepala sekolah lain.

Anda dapat memberikan dua jenis izin pada LF-Tags:

• LF-Tag izin -Create LF-Tag,Alter, danDrop. Izin ini diperlukan untuk membuat, memperbarui, dan menghapus LF-Tags.

  Administrator dan LF-Tag pembuat data lake secara implisit memiliki izin ini pada yang LF-Tags mereka buat dan dapat memberikan izin ini secara eksplisit kepada kepala sekolah untuk mengelola tag di danau data.

• LF-Tag izin pasangan nilai kunci -Assign,, Describe dan. Grant with LF-Tag expressions Izin ini diperlukan untuk menetapkan LF-Tags objek Katalog Data, dan untuk memberikan izin pada sumber daya kepada kepala sekolah menggunakan kontrol akses berbasis tag Lake Formation. LF-Tag kreator secara implisit menerima izin ini saat membuat. LF-Tags

Setelah menerima Create LF-Tag izin dan berhasil membuat LF-Tags, LF-Tag pembuat dapat menetapkan LF-Tags sumber daya dan memberikan LF-Tag izin (Create LF-Tag,,, AlterDrop, dan) kepada prinsipal non-administratif lainnya untuk mengelola tag di data lake. Anda dapat mengelola LF-Tags dengan menggunakan konsol Lake Formation, API, atau AWS Command Line Interface (AWS CLI).

catatan

Administrator data lake memiliki izin Lake Formation implisit untuk membuat, memperbarui, dan menghapus LF-Tags, menetapkan LF-Tags sumber daya, dan memberikan izin LF-Tag kepada kepala sekolah.

Untuk praktik dan pertimbangan terbaik, lihat Praktik dan pertimbangan terbaik kontrol akses berbasis tag Lake Formation

Topik

• Menambahkan LF-Tag kreator

• Menciptakan LF-Tags

• Memperbarui LF-Tags

• Menghapus LF-Tags

• Daftar LF-Tags

• Menetapkan sumber LF-Tags daya Katalog Data

• Melihat LF-Tags ditugaskan ke sumber daya

• Melihat sumber daya LF-Tag yang ditugaskan

• Siklus hidup a LF-Tag

• Perbandingan kontrol akses berbasis tag Lake Formation dengan kontrol akses berbasis atribut IAM

Lihat juga

• Mengelola izin LF-Tag nilai

• Memberikan izin data lake menggunakan metode LF-TBAC

• Kontrol akses berbasis tag Lake Formation

Siklus hidup a LF-Tag

1. LF-Tag Pencipta Michael menciptakan a LF-Tagmodule=Customers.

2. Michael memberikannya Associate LF-Tag kepada insinyur data Eduardo. Memberikan hibah Associate implisit. Describe

3. Michael memberikan Super di atas meja Custs kepada Eduardo dengan opsi hibah, sehingga Eduardo dapat menetapkan LF-Tags ke meja. Untuk informasi selengkapnya, lihat Menetapkan sumber LF-Tags daya Katalog Data.

4. Eduardo menugaskan LF-Tag module=customers ke meja. Custs

5. Michael memberikan hibah berikut kepada insinyur data Sandra (dalam kode semu).

   GRANT (SELECT, INSERT ON TABLES) ON TAGS module=customers TO Sandra WITH GRANT OPTION

6. Sandra memberikan hibah berikut kepada analis data Maria.

   GRANT (SELECT ON TABLES) ON TAGS module=customers TO Maria

   Maria sekarang dapat menjalankan kueri di atas Custs meja.

Lihat juga

• Kontrol akses metadata

Perbandingan kontrol akses berbasis tag Lake Formation dengan kontrol akses berbasis atribut IAM

Attribute-based Access Control (ABAC) adalah strategi otorisasi yang mendefinisikan izin berdasarkan atribut. Dalam AWS, atribut ini disebut tag. Anda dapat melampirkan tag ke sumber daya IAM, termasuk entitas IAM (pengguna atau peran) dan sumber daya. AWS Anda dapat membuat kebijakan ABAC tunggal atau set kecil kebijakan untuk penanggung jawab IAM Anda. Kebijakan ABAC ini dapat dirancang untuk memungkinkan operasi ketika tag penanggung jawab cocok dengan tag sumber daya. ABAC sangat membantu di lingkungan yang berkembang dengan cepat dan membantu dalam situasi ketika manajemen kebijakan menjadi rumit.

Tim keamanan dan tata kelola cloud menggunakan IAM untuk menentukan kebijakan akses dan izin keamanan untuk semua sumber daya termasuk bucket Amazon S3, instans Amazon EC2, dan sumber daya apa pun yang dapat Anda referensikan dengan ARN. Kebijakan IAM menentukan izin luas (berbutir kasar) ke sumber daya data lake Anda, misalnya, untuk mengizinkan atau menolak akses di bucket Amazon S3 atau tingkat awalan atau tingkat basis data. Untuk informasi lebih lanjut tentang IAM ABAC, lihat Untuk apa ABAC? AWS di Panduan Pengguna IAM.

Misalnya, Anda dapat membuat tiga peran dengan kunci tanda project-access. Mengatur nilai tanda dari peran pertama ke Dev, yang kedua ke Marketing, dan yang ketiga ke Support. Tetapkan tag dengan nilai yang sesuai untuk sumber daya. Anda kemudian dapat menggunakan kebijakan tunggal yang memungkinkan akses ketika peran dan sumber daya ditandai dengan nilai yang sama untuk project-access.

Tim tata kelola data menggunakan Lake Formation untuk menentukan izin berbutir halus ke sumber daya data lake tertentu. LF-Tags ditugaskan ke sumber daya Katalog Data (database, tabel, dan kolom) dan diberikan kepada prinsipal. Seorang kepala sekolah dengan LF-Tags LF-Tags kecocokan sumber daya dapat mengakses sumber daya itu. Izin Lake Formation adalah sekunder dari izin IAM. Misalnya, jika izin IAM tidak mengizinkan pengguna mengakses data lake, Lake Formation tidak memberikan akses ke sumber daya apa pun di dalam data lake tersebut kepada pengguna tersebut, meskipun prinsipal dan sumber daya memiliki kecocokan. LF-Tags

Kontrol akses berbasis tag Lake Formation (LF-TBAC) bekerja dengan IAM ABAC untuk memberikan tingkat izin tambahan untuk data dan sumber daya Lake Formation Anda.

• Skala izin Lake Formation TBAC dengan inovasi. Administrator idak perlu lagi memperbarui kebijakan yang ada untuk memungkinkan akses ke sumber daya baru. Misalnya, asumsikan bahwa Anda menggunakan strategi IAM ABAC dengan project-access tag untuk menyediakan akses ke database tertentu dalam Lake Formation. Menggunakan LF-TBAC, LF-Tag Project=SuperApp ditetapkan ke tabel atau kolom tertentu, dan hal yang sama LF-Tag diberikan kepada pengembang untuk proyek itu. Melalui IAM, pengembang dapat mengakses database, dan LF-TBAC izin memberikan pengembang akses lebih lanjut ke tabel atau kolom tertentu dalam tabel. Jika tabel baru ditambahkan ke proyek, administrator Lake Formation hanya perlu menetapkan tag ke tabel baru agar pengembang diberi akses ke tabel.

• Lake Formation TBAC membutuhkan lebih sedikit kebijakan IAM. Karena Anda menggunakan kebijakan IAM untuk memberikan akses tingkat tinggi ke sumber daya Lake Formation dan Lake Formation TBAC untuk mengelola akses data yang lebih tepat, Anda membuat lebih sedikit kebijakan IAM.

• Menggunakan Lake Formation TBAC, tim dapat berubah dan tumbuh dengan cepat. Ini karena izin untuk sumber daya baru secara otomatis diberikan berdasarkan atribut. Misalnya, jika pengembang baru bergabung dengan proyek, mudah untuk memberikan akses pengembang ini dengan mengaitkan peran IAM ke pengguna dan kemudian menetapkan yang diperlukan LF-Tags untuk pengguna. Anda tidak perlu mengubah kebijakan IAM untuk mendukung proyek baru atau membuat yang baru LF-Tags.

• Finer-grained izin dimungkinkan menggunakan Lake Formation TBAC. Kebijakan IAM memberikan akses ke sumber daya tingkat atas, seperti database atau tabel Katalog Data. Menggunakan Lake Formation TBAC, Anda dapat memberikan akses ke tabel atau kolom tertentu yang berisi nilai data tertentu.

catatan

Tag IAM tidak sama LF-Tags dengan. Tag ini tidak dapat dipertukarkan. LF-Tags digunakan untuk memberikan izin Lake Formation dan tag IAM digunakan untuk menentukan kebijakan IAM.