Accesso alle tabelle in tutte le regioni

Lake Formation supporta l'interrogazione delle tabelle del Data Catalog tra AWS le regioni. Puoi accedere ai dati in una regione da altre regioni utilizzando Amazon Athena, Amazon EMR ed AWS Glue ETL creando collegamenti a risorse in altre regioni che puntano ai database e alle tabelle di origine. Con l'accesso alle tabelle tra regioni, puoi accedere ai dati tra le regioni senza copiare i dati o i metadati sottostanti nel catalogo dati.

Ad esempio, puoi condividere un database o una tabella in un account produttore con un account consumatore nella Regione A. Dopo aver accettato l'invito alla condivisione delle risorse nella Regione A, l'amministratore del data lake dell'account consumer può creare collegamenti alle risorse condivise nella Regione B. L'amministratore dell'account consumer può concedere le autorizzazioni sulla risorsa condivisa ai responsabili IAM di quell'account nella Regione A e può concedere le autorizzazioni per il collegamento alle risorse nella Regione B. Utilizzando il link alla risorsa, i principali nell'account consumer può interrogare i dati condivisi dalla regione B.

Puoi anche ospitare l'origine dati Amazon S3 nella Regione A in un account produttore e registrare la posizione dei dati in un account centrale nella Regione B. Puoi creare risorse Data Catalog nell'account centrale, impostare le autorizzazioni di Lake Formation e condividere dati con i consumatori nel tuo account o con account esterni nella Regione B. La funzionalità interregionale consente agli utenti di accedere a queste tabelle del Catalogo dati dalla Regione C utilizzando collegamenti alle risorse.

Utilizzando questa funzionalità, è possibile interrogare i database federati in Apache Hive Metastores tra le regioni e anche unire le tabelle nella regione locale con le tabelle di un'altra regione durante l'esecuzione delle query.

Lake Formation supporta le seguenti funzionalità con l'accesso alle tabelle tra regioni:

• Controllo degli accessi basato su tag LF

• Autorizzazioni di controllo degli accessi granulari

• Operazioni di scrittura sul database o sulla tabella condivisa con le autorizzazioni appropriate

• Condivisione dei dati tra account a livello di account e direttamente con i principali IAM

Gli utenti non amministrativi con Create_Database e Create_Table autorizzazioni possono creare collegamenti di risorse tra regioni.

Nota

Puoi creare collegamenti a risorse interregionali in qualsiasi regione e accedere ai dati senza applicare le autorizzazioni di Lake Formation. Per i dati di origine in Amazon S3 che non sono registrati con Lake Formation, l'accesso è determinato dalle politiche di autorizzazione IAM per Amazon S3 e dalle azioni. AWS Glue

Per le limitazioni, consulta Limitazioni di accesso ai dati tra regioni.

Flussi di lavoro

I seguenti diagrammi mostrano i flussi di lavoro per l'accesso ai dati tra AWS regioni dallo stesso AWS account e da un account esterno.

Flusso di lavoro per accedere alle tabelle condivise all'interno dello stesso account AWS

Nel diagramma seguente, i dati vengono condivisi con un utente dello stesso AWS account nella regione Stati Uniti orientali (Virginia settentrionale) e l'utente richiede i dati condivisi dalla regione Europa (Irlanda).

L'amministratore del data lake esegue le seguenti attività (passaggi 1-2):

1. Un amministratore del data lake configura un AWS account con i database e le tabelle Data Catalog e registra una posizione dati Amazon S3 con Lake Formation nella regione Stati Uniti orientali (Virginia settentrionale).

   Concede Select l'autorizzazione per una risorsa del Data Catalog (tabella dei prodotti nel diagramma) a un principale (utente) nello stesso account.

2. Crea un collegamento a una risorsa nella regione Europa (Irlanda) che punta alla tabella di origine nella regione Stati Uniti orientali (Virginia settentrionale). Concede l'DESCRIBEautorizzazione per il collegamento alla risorsa dalla regione Europa (Irlanda) al principale.

3. L'utente esegue una query sulla tabella dalla regione Europa (Irlanda) utilizzando Athena.

Flusso di lavoro per accedere alle tabelle condivise con un account esterno AWS

Nel diagramma seguente, l'account produttore (Account A) ospita il bucket Amazon S3, registra la posizione dei dati e condivide una tabella del catalogo dati con un account consumer (Account B) nella regione Stati Uniti orientali (Virginia settentrionale) e un utente dell'account consumer (Account B) esegue una query sulla tabella dalla regione Europa (Irlanda).

1. Un amministratore del data lake configura un AWS account (account produttore) con le risorse Data Catalog e una data location Amazon S3 registrata presso Lake Formation nella regione Stati Uniti orientali (Virginia settentrionale).

2. L'amministratore del data lake dell'account produttore condivide una tabella Data Catalog con un account consumatore.

3. L'amministratore del data lake dell'account consumer accetta l'invito alla condivisione dei dati nella regione Stati Uniti orientali (Virginia settentrionale) e concede l'Selectautorizzazione per la tabella condivisa a un principale della stessa regione.

4. L'amministratore del data lake dell'account consumer crea un collegamento di risorse nella regione Europa (Irlanda) che rimanda alla tabella condivisa di destinazione nella regione Stati Uniti orientali (Virginia settentrionale) e concede all'utente l'DESCRIBEautorizzazione per il collegamento alla risorsa dalla regione Europa (Irlanda).

5. L'utente interroga i dati dalla regione Europa (Irlanda) utilizzando Athena.