Mendaftarkan lokasi Amazon S3

Anda harus menentukan peran AWS Identity and Access Management (IAM) saat mendaftarkan lokasi Amazon Simple Storage Service (Amazon S3). Lake Formation mengasumsikan peran itu ketika memberikan kredensi sementara untuk AWS layanan terintegrasi yang mengakses data di lokasi tersebut.

penting

Hindari mendaftarkan bucket Amazon S3 yang mengaktifkan Requester pay. Untuk ember yang terdaftar di Lake Formation, peran yang digunakan untuk mendaftarkan ember selalu dipandang sebagai pemohon. Jika bucket diakses oleh AWS akun lain, pemilik bucket akan dikenakan biaya untuk akses data jika peran tersebut milik akun yang sama dengan pemilik bucket.

Anda dapat menggunakan AWS Lake Formation konsol, Lake FormationAPI, atau AWS Command Line Interface (AWS CLI) untuk mendaftarkan lokasi Amazon S3.

Sebelum Anda mulai

Tinjau persyaratan untuk peran yang digunakan untuk mendaftarkan lokasi.

Untuk mendaftarkan lokasi (konsol)

penting

Prosedur berikut mengasumsikan bahwa lokasi Amazon S3 berada di AWS akun yang sama dengan Katalog Data dan bahwa data di lokasi tidak dienkripsi. Bagian lain dalam Bab ini mencakup pendaftaran lintas akun dan pendaftaran lokasi terenkripsi.

1. Buka AWS Lake Formation konsol di https://console.aws.amazon.com/lakeformation/. Masuk sebagai administrator danau data atau sebagai pengguna dengan lakeformation:RegisterResource IAM izin.

2. Di panel navigasi, di bawah Administrasi, pilih Lokasi danau data.

3. Pilih Daftar lokasi, lalu pilih Browse untuk memilih jalur Amazon Simple Storage Service (Amazon S3).

4. (Opsional, tetapi sangat disarankan) Pilih Tinjau izin lokasi untuk melihat daftar semua sumber daya yang ada di lokasi Amazon S3 yang dipilih dan izinnya.

   Mendaftarkan lokasi yang dipilih dapat mengakibatkan pengguna Lake Formation Anda mendapatkan akses ke data yang sudah ada di lokasi tersebut. Melihat daftar ini membantu Anda memastikan bahwa data yang ada tetap aman.

5. Untuk IAMperan, pilih peran AWSServiceRoleForLakeFormationDataAccess terkait layanan (default) atau IAM peran kustom yang memenuhi persyaratan. Persyaratan untuk peran yang digunakan untuk mendaftarkan lokasi

   Anda dapat memperbarui lokasi terdaftar atau detail lainnya hanya jika Anda mendaftarkannya menggunakan IAM peran khusus. Untuk mengedit lokasi yang terdaftar menggunakan peran terkait layanan, Anda harus membatalkan pendaftaran lokasi dan mendaftarkannya kembali.

6. Pilih opsi Aktifkan Federasi Katalog Data untuk mengizinkan Lake Formation mengambil peran dan menjual kredensi sementara ke AWS layanan terintegrasi untuk mengakses tabel di bawah database federasi. Jika lokasi terdaftar di Lake Formation, dan Anda ingin menggunakan lokasi yang sama untuk tabel di bawah database federasi, Anda harus mendaftarkan lokasi yang sama dengan opsi Aktifkan Federasi Katalog Data.

7. Pilih mode akses Hybrid untuk tidak mengaktifkan izin Lake Formation secara default. Saat mendaftarkan lokasi Amazon S3 dalam mode akses hybrid, Anda dapat mengaktifkan izin Lake Formation dengan memilih prinsipal untuk database dan tabel di bawah lokasi tersebut.


   Untuk informasi selengkapnya tentang pengaturan mode akses hybrid, lihatMode akses hibrid.

8. Pilih Daftarkan lokasi.

Untuk mendaftarkan lokasi (AWS CLI)

1. Daftarkan lokasi baru dengan Lake Formation

   Contoh ini menggunakan peran terkait layanan untuk mendaftarkan lokasi. Anda dapat menggunakan --role-arn argumen sebagai gantinya untuk menyediakan peran Anda sendiri.

   Ganti <s3-path> dengan jalur Amazon S3 yang valid, nomor akun dengan AWS akun yang valid, dan <s3-access-role> dengan IAM peran yang memiliki izin untuk mendaftarkan lokasi data.

   catatan

   Anda tidak dapat mengedit properti lokasi terdaftar jika terdaftar menggunakan peran terkait layanan.

   aws lakeformation register-resource \
    --resource-arn arn:aws:s3:::<s3-path> \
    --use-service-linked-role

   Contoh berikut menggunakan peran kustom untuk mendaftarkan lokasi.

   aws lakeformation register-resource \
    --resource-arn arn:aws:s3:::<s3-path> \
    --role-arn arn:aws:iam::<123456789012>:role/<s3-access-role>                   

2. Untuk memperbarui lokasi yang terdaftar di Lake Formation

   Anda dapat mengedit lokasi terdaftar hanya jika terdaftar menggunakan IAM peran khusus. Untuk lokasi yang terdaftar dengan peran terkait layanan, Anda harus membatalkan pendaftaran lokasi dan mendaftarkannya lagi. Untuk informasi selengkapnya, lihat Membatalkan pendaftaran lokasi Amazon S3.

   aws lakeformation update-resource \
    --role-arn arn:aws:iam::<123456789012>:role/<s3-access-role>\
    --resource-arn arn:aws:s3:::<s3-path>              
                

   aws lakeformation update-resource \
    --resource-arn arn:aws:s3:::<s3-path> \
    --use-service-linked-role                      

3. Daftarkan lokasi data dalam mode akses hybrid dengan federasi

   aws lakeformation register-resource \
    --resource-arn arn:aws:s3:::<s3-path> \
    --role-arn arn:aws:iam::<123456789012>:role/<s3-access-role> \
    --hybrid-access-enabled         
          

   aws lakeformation register-resource \
    --resource-arn arn:aws:s3:::<s3-path> \
    --role-arn arn:aws:iam::<123456789012>:role/<s3-access-role> \
    --with-federation                

   aws lakeformation update-resource \
    --resource-arn arn:aws:s3:::<s3-path> \
    --role-arn arn:aws:iam::<123456789012>:role/<s3-access-role> \
    --hybrid-access-enabled                            

Untuk informasi lebih lanjut, lihat RegisterResourceAPIoperasi.

catatan

Setelah Anda mendaftarkan lokasi Amazon S3, AWS Glue tabel apa pun yang menunjuk ke lokasi (atau lokasi turunannya) akan mengembalikan nilai untuk IsRegisteredWithLakeFormation parameter seperti true dalam panggilan. GetTable Ada batasan yang diketahui bahwa API operasi Katalog Data seperti GetTables dan SearchTables tidak memperbarui nilai untuk IsRegisteredWithLakeFormation parameter, dan mengembalikan default, yang salah. Disarankan untuk menggunakan GetTable API untuk melihat nilai yang benar untuk IsRegisteredWithLakeFormation parameter.