Guida introduttiva ai notebook in AWS Glue Studio

Quando si avvia un notebook tramite AWS Glue Studio, tutti i passaggi di configurazione vengono eseguiti automaticamente, in modo che possiate esplorare i dati e iniziare a sviluppare lo script del job dopo pochi secondi.

Le sezioni seguenti descrivono come creare un ruolo e concedere le autorizzazioni appropriate per utilizzare i notebook in AWS Glue Studio per lavori ETL.

Per ulteriori informazioni sulle azioni definite da AWS Glue, vedere Actions defined by AWS Glue.

Concessione di autorizzazioni per il ruolo IAM

Configurazione AWS Glue Studio è un prerequisito per l'utilizzo dei notebook.

Per utilizzare i taccuini in AWS Glue, il tuo ruolo richiede quanto segue:

• Un rapporto di fiducia con AWS Glue per l'sts:AssumeRoleazione e, se vuoi taggare, allorasts:TagSession.

• Una policy IAM contenente tutte le autorizzazioni per i notebook, AWS Gluee sessioni interattive.

• Una policy IAM per un ruolo pass poiché il ruolo deve essere in grado di passare da notebook alle sessioni interattive.

Ad esempio, quando si crea un nuovo ruolo, è possibile aggiungere una policy AWS gestita standard simile AWSGlueConsoleFullAccessRole al ruolo, quindi aggiungere una nuova policy per le operazioni del notebook e un'altra per la PassRole policy IAM.

Azioni necessarie per una relazione di fiducia con AWS Glue

Quando si avvia una sessione di notebook, è necessario aggiungere sts:AssumeRole alla relazione di fiducia del ruolo che viene trasmesso a notebook. Se la tua sessione include tag, devi anche passare l'operazione sts:TagSession. Senza queste azioni, la sessione di notebook non può essere avviata.

Per esempio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "glue.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}
          
        

Politiche contenenti le autorizzazioni IAM per i notebook

La seguente policy di esempio descrive le autorizzazioni AWS IAM richieste per i notebook. Se stai creando un nuovo ruolo, crea una policy che contenga quanto segue:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "glue:StartNotebook",
                "glue:TerminateNotebook",
                "glue:GlueNotebookRefreshCredentials",
                "glue:DeregisterDataPreview",
                "glue:GetNotebookInstanceStatus",
                "glue:GlueNotebookAuthorize"
            ],
            "Resource": "*"
        }
    ]
}

È possibile utilizzare le seguenti policy IAM per consentire l'accesso a risorse specifiche:

• AwsGlueSessionUserRestrictedNotebookServiceRole: Fornisce accesso completo a tutti AWS Glue risorse ad eccezione delle sessioni. Permette agli utenti di creare e utilizzare solo le sessioni notebook associate all'utente. Questa politica include anche altre autorizzazioni necessarie per AWS Glue gestire AWS Glue risorse in altri AWS servizi.

• AwsGlueSessionUserRestrictedNotebookPolicy: Fornisce autorizzazioni che consentono agli utenti di creare e utilizzare solo le sessioni di notebook associate all'utente. Questa politica include anche le autorizzazioni per consentire esplicitamente agli utenti di applicare una restrizione AWS Glue ruolo di sessione.

Policy IAM per trasmettere un ruolo

Quando crei un notebook con un ruolo, tale ruolo viene passato alle sessioni interattive in modo che lo stesso ruolo possa essere utilizzato in entrambe le posizioni. Come tale, il permesso iam:PassRole deve essere parte della policy del ruolo.

Crea una nuova policy per il tuo ruolo utilizzando l'esempio seguente. Sostituisci il numero di account con il tuo e il nome del ruolo.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::090000000210:role/<role_name>"
        }
    ]
}