Aggiungere creatori di tag LF

Per impostazione predefinita, gli amministratori del data lake possono creare, aggiornare ed eliminare i tag LF, assegnare tag alle risorse del Data Catalog e concedere le autorizzazioni relative ai tag ai principali. Se desideri delegare le operazioni di creazione e gestione dei tag a responsabili non amministratori, l'amministratore del data lake può creare ruoli di creatore di tag LF e concedere l'autorizzazione a Lake Formation ai ruoli. Create LF-Tag Con l'Create LF-Tagautorizzazione concessa, i creatori di LF-Tag possono delegare le attività di creazione e manutenzione dei tag ad altri responsabili non amministrativi.

Affinché gli amministratori del data lake assegnino i tag LF alle risorse del Data Catalog, devono concedersi le autorizzazioni di associazione sui tag LF che non sono stati creati da loro.

Nota

Le concessioni di autorizzazioni per più account possono includere solo autorizzazioni e. Describe Associate Non puoi concedereCreate LF-Tag, DropAlter, e Grant with LFTag expressions autorizzazioni ai responsabili di un altro account.

Consulta anche

• Gestione delle autorizzazioni per i valori del tag LF

• Concessione delle autorizzazioni per il data lake utilizzando il metodo LF- TBAC

• Controllo degli accessi basato su tag Lake Formation

IAMautorizzazioni necessarie per creare tag LF

È necessario configurare le autorizzazioni per consentire a un responsabile di Lake Formation di creare tag LF. Aggiungete la seguente dichiarazione alla politica delle autorizzazioni per il principale che deve essere un creatore di LF-Tag.

Nota

Sebbene gli amministratori dei data lake abbiano le autorizzazioni implicite di Lake Formation per creare, aggiornare ed eliminare i tag LF, assegnare i tag LF alle risorse e concedere i tag LF ai principali, gli amministratori del data lake necessitano anche delle seguenti autorizzazioni. IAM

Per ulteriori informazioni, consulta Riferimento ai personaggi e alle IAM autorizzazioni di Lake Formation.

{
"Sid": "Transformational",
"Effect": "Allow",
    "Action": [
        "lakeformation:AddLFTagsToResource",
        "lakeformation:RemoveLFTagsFromResource",
        "lakeformation:GetResourceLFTags",
        "lakeformation:ListLFTags",
        "lakeformation:CreateLFTag",
        "lakeformation:GetLFTag",
        "lakeformation:UpdateLFTag",
        "lakeformation:DeleteLFTag",
        "lakeformation:SearchTablesByLFTags",
        "lakeformation:SearchDatabasesByLFTags"
     ]
 }         
         

I principali che assegnano LF-tags alle risorse e concedono LF-tags ai principali devono avere le stesse autorizzazioni, ad eccezione di, e permessi. CreateLFTag UpdateLFTag DeleteLFTag

Aggiungi creatori di tag LF

Un creatore di tag LF può creare un tag LF, aggiornare la chiave e i valori dei tag, eliminare tag, associare tag alle risorse del Data Catalog e concedere le autorizzazioni sulle risorse del Data Catalog ai principali utilizzando il metodo LF-. TBAC Il creatore di LF-Tag può anche concedere queste autorizzazioni ai principali.

È possibile creare ruoli di creatore di LF-Tag utilizzando la AWS Lake Formation console, il, o il API (). AWS Command Line Interface AWS CLI

console

Per aggiungere un creatore di tag LF

1. Apri la console Lake Formation all'indirizzo https://console.aws.amazon.com/lakeformation/.

   Accedi come amministratore di datalake.

2. Nel pannello di navigazione, in Autorizzazioni, scegli LF-tags e permessi.

   Nella pagina LF-Tag e permessi, scegliete la sezione LF-Tag Creators e scegliete Aggiungi creatori LF-Tag.

   

3. Nella pagina Aggiungi creatori di tag LF, scegli un IAM ruolo o un utente con le autorizzazioni necessarie per creare tag LF.

4. Abilita Create LF-Tag la casella di controllo delle autorizzazioni.

5. (Facoltativo) Per consentire ai responsabili selezionati di concedere l'Create LF-Tagautorizzazione ai mandanti, scegli Autorizzazione Create LF-Tag concedibile.

6. Scegli Aggiungi.

AWS CLI

aws lakeformation grant-permissions --cli-input-json file://grantCreate
{
    "Principal": {
        "DataLakePrincipalIdentifier": "arn:aws:iam::123456789012:user/tag-manager"
    },
    "Resource": {
        "Catalog": {}
    },
    "Permissions": [
        "CreateLFTag"
    ],
    "PermissionsWithGrantOption": [
        "CreateLFTag"
    ]
}               
              

Le seguenti sono le autorizzazioni disponibili per il ruolo di creatore di LF-Tag:

Autorizzazione	Descrizione
Drop	Un principale con questa autorizzazione su un LF-Tag può eliminare un LF-Tag dal data lake. Il principale ottiene l'Describeautorizzazione implicita su tutti i valori dei tag di una risorsa LF-Tag.
Alter	Un principale con questa autorizzazione su un tag LF può aggiungere o rimuovere un valore di tag da un tag LF. Il principale ottiene l'Alterautorizzazione implicita su tutti i valori dei tag di un tag LF.
Describe	Un principale con questa autorizzazione su un tag LF può visualizzare il tag LF e i suoi valori quando assegna tag LF alle risorse o concede autorizzazioni sui tag LF. È possibile concedere su tutti i valori chiave o su valori specifici. Describe
Associate	Un principale con questa autorizzazione su un tag LF può assegnare il tag LF a una risorsa del catalogo dati. AssociateDescribeConcedere concessioni implicite.
Grant with LF-Tag expression	Un principale con questa autorizzazione su un LF-Tag può concedere autorizzazioni sulle risorse di un Data Catalog utilizzando la chiave e i valori LF-Tag. Grant with LF-Tag expressionLa concessione implicita di concedere concessioni. Describe

Queste autorizzazioni sono concesse. Un preside a cui sono state concesse queste autorizzazioni con l'opzione di concessione può concederle ad altri committenti.