Registrazione di una sede Amazon S3 in un altro account AWS

AWS Lake Formation consente di registrare sedi Amazon Simple Storage Service (Amazon S3) su più account. AWS Ad esempio, se si AWS Glue Data Catalog trova nell'account A, un utente nell'account A può registrare un bucket Amazon S3 nell'account B.

La registrazione di un bucket Amazon S3 AWS nell'account B utilizzando AWS Identity and Access Management un ruolo IAM () AWS nell'account A richiede le seguenti autorizzazioni:

• Il ruolo nell'account A deve concedere le autorizzazioni sul bucket dell'account B.

• La politica del bucket nell'account B deve concedere le autorizzazioni di accesso al ruolo nell'account A.

Importante

Evita di registrare un bucket Amazon S3 con Requester pay abilitato. Per i bucket registrati con Lake Formation, il ruolo utilizzato per registrare il bucket viene sempre visualizzato come richiedente. Se al bucket si accede da un altro AWS account, al proprietario del bucket viene addebitato l'accesso ai dati se il ruolo appartiene allo stesso account del proprietario del bucket.

Non puoi utilizzare il ruolo collegato al servizio Lake Formation per registrare una sede in un altro account. È invece necessario utilizzare un ruolo definito dall'utente. Il ruolo deve soddisfare i requisiti diRequisiti per i ruoli utilizzati per registrare le sedi. Per ulteriori informazioni sul ruolo collegato al servizio, consulta Autorizzazioni di ruolo collegate al servizio per Lake Formation.

Prima di iniziare

Esamina i requisiti per il ruolo utilizzato per registrare la sede.

Per registrare una sede in un altro AWS account

Nota

Se la posizione è crittografata, segui Registrazione di una posizione Amazon S3 crittografata tra più account AWS invece le istruzioni riportate in.

La procedura seguente presuppone che un titolare dell'account 1111-2222-3333, che contiene il Data Catalog, desideri registrare il awsexamplebucket1 bucket Amazon S3, che si trova nell'account 1234-5678-9012.

1. Nell'account 1111-2222-3333, accedi e apri la console all'indirizzo. AWS Management Console IAM https://console.aws.amazon.com/iam/

2. Crea un nuovo ruolo o visualizza un ruolo esistente che soddisfa i requisiti in. Requisiti per i ruoli utilizzati per registrare le sedi Assicurati che il ruolo conceda le autorizzazioni di Amazon S3. awsexamplebucket1

3. Apri la console Amazon S3 all'indirizzo. https://console.aws.amazon.com/s3/ Accedi con l'account 1234-5678-9012.

4. Nell'elenco dei nomi del bucket, scegli il nome del bucket,. awsexamplebucket1

5. Seleziona Autorizzazioni.

6. Nella pagina Autorizzazioni, scegli Bucket Policy.

7. Nell'editor di policy Bucket, incolla la seguente politica. Replace (Sostituisci) <role-name> con il nome del tuo ruolo.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect":"Allow",
               "Principal": {
                   "AWS":"arn:aws:iam::111122223333:role/<role-name>"
               },
               "Action":"s3:ListBucket",
               "Resource":"arn:aws:s3:::awsexamplebucket1"
           },
           {
               "Effect":"Allow",
               "Principal": {
                   "AWS":"arn:aws:iam::111122223333:role/<role-name>"
               },
               "Action": [
                   "s3:DeleteObject",
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource":"arn:aws:s3:::awsexamplebucket1/*"
           }
       ]
   }

8. Selezionare Salva.

9. Apri la AWS Lake Formation console all'indirizzo https://console.aws.amazon.com/lakeformation/. Accedi all'account 1111-2222-3333 come amministratore del data lake o come utente con autorizzazioni sufficienti per registrare le sedi.

10. Nel riquadro di navigazione, in Amministrazione, scegli Posizioni Data lake.

11. Nella pagina delle sedi dei Data lake, scegli Registra posizione.

12. Nella pagina Registra posizione, per il percorso Amazon S3, inserisci il nome del bucket. s3://awsexamplebucket1

    Nota

    Devi digitare il nome del bucket perché i bucket tra account non vengono visualizzati nell'elenco quando scegli Sfoglia.

13. Per quanto riguarda il IAMruolo, scegli il tuo ruolo.

14. Scegli la posizione di registrazione.