Consenti l'accesso a Athena Data Connector for External Hive Metastore

Negli esempi di policy di autorizzazione in questo argomento vengono illustrate le operazioni consentite obbligatorie e le risorse per le quali sono consentite. Esamina attentamente queste politiche e modificale in base alle tue esigenze prima di allegare politiche di autorizzazione simili alle identità. IAM

• Example Policy to Allow an IAM Principal to Query Data Using Athena Data Connector for External Hive Metastore

• Example Policy to Allow an IAM Principal to Create an Athena Data Connector for External Hive Metastore

Esempio

— Consenti a un IAM principale di interrogare i dati utilizzando Athena Data Connector for External Hive Metastore

La seguente politica è allegata ai IAM principali in aggiunta aAWS politica gestita: AmazonAthenaFullAccess, che garantisce il pieno accesso alle azioni di Athena.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": [
                "lambda:GetFunction",
                "lambda:GetLayerVersion",
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:111122223333:function:MyAthenaLambdaFunction",
                "arn:aws:lambda:*:111122223333:function:AnotherAthenaLambdaFunction",
                "arn:aws:lambda:*:111122223333:layer:MyAthenaLambdaLayer:*"
            ]
        },
        {
            "Sid": "VisualEditor2",
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:PutObject",
                "s3:ListMultipartUploadParts",
                "s3:AbortMultipartUpload"
            ],
            "Resource": "arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillLocation"
        }
    ]
}

Spiegazione delle autorizzazioni

Operazioni consentite	Spiegazione
"s3:GetBucketLocation", "s3:GetObject", "s3:ListBucket", "s3:PutObject", "s3:ListMultipartUploadParts", "s3:AbortMultipartUpload"	s3le azioni consentono la lettura e la scrittura sulla risorsa specificata come, dove "arn:aws:s3:::MyLambdaSpillBucket/MyLambdaSpillLocation" MyLambdaSpillLocation identifica il secchio di fuoriuscita specificato nella configurazione della funzione o delle funzioni Lambda richiamate. Il arn:aws:lambda:*:MyAWSAcctId:layer:MyAthenaLambdaLayer:* l'identificatore di risorsa è richiesto solo se si utilizza un livello Lambda per creare dipendenze di runtime personalizzate per ridurre le dimensioni degli artefatti funzionali al momento della distribuzione. Il * nell'ultima posizione è un carattere jolly per la versione del livello.
"lambda:GetFunction", "lambda:GetLayerVersion", "lambda:InvokeFunction"	Consente alle interrogazioni di richiamare il AWS Lambda funzioni specificate nel blocco. Resource Ad esempioarn:aws:lambda:*:MyAWSAcctId:function:MyAthenaLambdaFunction, dove MyAthenaLambdaFunction specifica il nome di una funzione Lambda da richiamare. Più funzioni possono essere specificate come mostrato nell'esempio.

Esempio

— Consenti a un IAM principale di creare un connettore dati Athena per External Hive Metastore

La seguente politica è allegata ai IAM principali in aggiunta aAWS politica gestita: AmazonAthenaFullAccess, che garantisce il pieno accesso alle azioni di Athena.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "lambda:GetFunction",
                "lambda:ListFunctions",
                "lambda:GetLayerVersion",
                "lambda:InvokeFunction",
                "lambda:CreateFunction",
                "lambda:DeleteFunction",
                "lambda:PublishLayerVersion",
                "lambda:DeleteLayerVersion",
                "lambda:UpdateFunctionConfiguration",
                "lambda:PutFunctionConcurrency",
                "lambda:DeleteFunctionConcurrency"
            ],
            "Resource": "arn:aws:lambda:*:111122223333: function: MyAthenaLambdaFunctionsPrefix*"
        }
    ]
}

Spiegazione delle autorizzazioni

Consente alle interrogazioni di richiamare il AWS Lambda funzioni per AWS Lambda funzioni specificate nel Resource blocco. Ad esempioarn:aws:lambda:*:MyAWSAcctId:function:MyAthenaLambdaFunction, dove MyAthenaLambdaFunction specifica il nome di una funzione Lambda da richiamare. Più funzioni possono essere specificate come mostrato nell'esempio.