Aggiungere creatori di tag LF

Per impostazione predefinita, gli amministratori del data lake possono creare, aggiornare ed eliminare i tag LF, assegnare tag alle risorse del Data Catalog e concedere le autorizzazioni relative ai tag ai principali. Se desideri delegare le operazioni di creazione e gestione dei tag a responsabili non amministratori, l'amministratore del data lake può creare ruoli di creatore di tag LF e concedere l'autorizzazione a Lake Formation ai ruoli. Create LF-Tag Con l'Create LF-Tagautorizzazione concessa, i creatori di LF-Tag possono delegare le attività di creazione e manutenzione dei tag ad altri responsabili non amministrativi.

Nota

Le concessioni di autorizzazioni per più account possono includere solo autorizzazioni e. Describe Associate Non puoi concedereCreate LF-Tag, DropAlter, e Grant with LFTag expressions autorizzazioni ai responsabili di un altro account.

Consulta anche

• Concessione, revoca ed elenco delle autorizzazioni per i valori LF-Tag

• Concessione delle autorizzazioni per il data lake utilizzando il metodo LF-TBAC

• Controllo degli accessi basato su tag Lake Formation

Autorizzazioni IAM necessarie per creare tag LF

È necessario configurare le autorizzazioni per consentire a un responsabile di Lake Formation di creare tag LF. Aggiungi la seguente dichiarazione alla politica delle autorizzazioni per il principale che deve essere un creatore di LF-Tag.

Nota

Sebbene gli amministratori dei data lake abbiano le autorizzazioni implicite di Lake Formation per creare, aggiornare ed eliminare i tag LF, assegnare i tag LF alle risorse e concedere i tag LF ai principali, gli amministratori del data lake necessitano anche delle seguenti autorizzazioni IAM.

Per ulteriori informazioni, consulta Riferimento ai personaggi di Lake Formation e alle autorizzazioni IAM.

{
"Sid": "Transformational",
"Effect": "Allow",
    "Action": [
        "lakeformation:AddLFTagsToResource",
        "lakeformation:RemoveLFTagsFromResource",
        "lakeformation:GetResourceLFTags",
        "lakeformation:ListLFTags",
        "lakeformation:CreateLFTag",
        "lakeformation:GetLFTag",
        "lakeformation:UpdateLFTag",
        "lakeformation:DeleteLFTag",
        "lakeformation:SearchTablesByLFTags",
        "lakeformation:SearchDatabasesByLFTags"
     ]
 }         
         

I principali che assegnano i tag LF alle risorse e concedono i tag LF ai principali devono avere le stesse autorizzazioni, ad eccezione delle autorizzazioni, e. CreateLFTag UpdateLFTag DeleteLFTag

Aggiungi creatori di tag LF

Un creatore di tag LF può creare un tag LF, aggiornare la chiave e i valori dei tag, eliminare tag, associare tag alle risorse del Data Catalog e concedere le autorizzazioni sulle risorse del Data Catalog ai principali utilizzando il metodo LF-TBAC. Il creatore di LF-Tag può anche concedere queste autorizzazioni ai principali.

È possibile creare ruoli di creatore di LF-Tag utilizzando la AWS Lake Formation console, l'API o (). AWS Command Line Interface AWS CLI

console

Per aggiungere un creatore di tag LF

1. Aprire la console Lake Formation all'indirizzo https://console.aws.amazon.com/lakeformation/.

   Accedi come amministratore del datalake.

2. Nel pannello di navigazione, in Autorizzazioni, scegli LF-tags e permessi.

   Nella pagina LF-Tag e permessi, scegliete la sezione LF-Tag Creators e scegliete Aggiungi creatori LF-Tag.

   

3. Nella pagina Aggiungi creatori di LF-Tag, scegli un ruolo o un utente IAM con le autorizzazioni necessarie per creare LF-Tag.

4. Abilita Create LF-Tag la casella di controllo delle autorizzazioni.

5. (Facoltativo) Per consentire ai responsabili selezionati di concedere l'Create LF-Tagautorizzazione ai mandanti, scegli Autorizzazione Create LF-Tag concedibile.

6. Scegli Aggiungi.

AWS CLI

aws lakeformation grant-permissions --cli-input-json file://grantCreate
{
    "Principal": {
        "DataLakePrincipalIdentifier": "arn:aws:iam::123456789012:user/tag-manager"
    },
    "Resource": {
        "Catalog": {}
    },
    "Permissions": [
        "CreateLFTag"
    ],
    "PermissionsWithGrantOption": [
        "CreateLFTag"
    ]
}               
              

Le seguenti sono le autorizzazioni disponibili per il ruolo di creatore di LF-Tag:

Autorizzazione	Descrizione
Drop	Un principale con questa autorizzazione su un LF-Tag può eliminare un LF-Tag dal data lake. Il principale ottiene l'Describeautorizzazione implicita su tutti i valori dei tag di una risorsa LF-Tag.
Alter	Un principale con questa autorizzazione su un tag LF può aggiungere o rimuovere un valore di tag da un tag LF. Il principale ottiene l'Alterautorizzazione implicita su tutti i valori dei tag di un tag LF.
Describe	Un principale con questa autorizzazione su un tag LF può visualizzare il tag LF e i suoi valori quando assegna tag LF alle risorse o concede autorizzazioni sui tag LF. È possibile concedere su tutti i valori chiave o su valori specifici. Describe
Associate	Un principale con questa autorizzazione su un tag LF può assegnare il tag LF a una risorsa del catalogo dati. AssociateDescribeConcedere concessioni implicite.
Grant with LF-Tag expression	Un principale con questa autorizzazione su un LF-Tag può concedere autorizzazioni sulle risorse di un Data Catalog utilizzando la chiave e i valori LF-Tag. Grant with LF-Tag expressionLa concessione implicita di concedere concessioni. Describe

Queste autorizzazioni sono concesse. Un preside a cui sono state concesse queste autorizzazioni con l'opzione di concessione può concederle ad altri committenti.