Prerequisiti per la configurazione della modalità di accesso ibrida

Di seguito sono riportati i prerequisiti per l'impostazione della modalità di accesso ibrida:

Nota

Consigliamo a un amministratore di Lake Formation di registrare la posizione Amazon S3 in modalità di accesso ibrida e di attivare i principali e le risorse.

1. Concedi l'autorizzazione all'ubicazione dei dati (DATA_LOCATION_ACCESS) per creare risorse Data Catalog che puntino alle sedi Amazon S3. Le autorizzazioni di localizzazione dei dati controllano la capacità di creare database e tabelle Data Catalog che puntano a particolari posizioni Amazon S3.

2. Per condividere le risorse di Data Catalog con un altro account in modalità di accesso ibrida (senza rimuovere le autorizzazioni di IAMAllowedPrincipals gruppo dalla risorsa), devi aggiornare le impostazioni della versione dell'account Cross alla versione 4. Per aggiornare la versione utilizzando la console Lake Formation, scegli Versione 4 nelle impostazioni della versione dell'account Cross nella pagina delle impostazioni del Data Catalog.

   Puoi anche usare il put-data-lake-settings AWS CLI comando per impostare il CROSS_ACCOUNT_VERSION parametro sulla versione 4:

   aws lakeformation put-data-lake-settings --region us-east-1 --data-lake-settings file://settings
   {
   "DataLakeAdmins": [
           {
   "DataLakePrincipalIdentifier": "arn:aws:iam::<111122223333>:user/<user-name>"
           }
       ],
       "CreateDatabaseDefaultPermissions": [],
       "CreateTableDefaultPermissions": [],
       "Parameters": {
   "CROSS_ACCOUNT_VERSION": "4"
       }
   } 
    

3. 
Per concedere le autorizzazioni su più account in modalità di accesso ibrida, il concedente deve disporre delle IAM autorizzazioni e dei servizi richiesti. AWS Glue AWS RAM La politica AWS AWSLakeFormationCrossAccountManager gestita concede le autorizzazioni richieste.
 Per abilitare la condivisione dei dati tra account in modalità di accesso ibrido, abbiamo aggiornato la politica AWSLakeFormationCrossAccountManager gestita aggiungendo due nuove autorizzazioni: IAM

   • ram: ListResourceSharePermissions

   • ram: AssociateResourceSharePermission

   Nota

   Se non utilizzi la politica AWS gestita per il ruolo di concedente, aggiungi le politiche precedenti alle politiche personalizzate.