Informazioni sull'aggiornamento al modello di autorizzazioni Lake Formation

Per mantenere la compatibilità con le versioni precedentiAWS Glue, per impostazione predefinita, AWS Lake Formation concede l'Superautorizzazione al IAMAllowedPrincipals gruppo su tutte le risorse del AWS Glue Data Catalog esistenti e concede l'Superautorizzazione sulle nuove risorse del Data Catalog se le impostazioni di controllo di accesso Use only IAM sono abilitate. Ciò fa sì che l'accesso alle risorse del Data Catalog e alle sedi Amazon S3 sia controllato esclusivamente da policy AWS Identity and Access Management (IAM). Il IAMAllowedPrincipals gruppo include tutti gli utenti e i ruoli IAM a cui è consentito l'accesso agli oggetti del Data Catalog dalle politiche IAM. L'Superautorizzazione consente a un principale di eseguire tutte le operazioni di Lake Formation supportate sul database o sulla tabella su cui è concessa.

Puoi iniziare a utilizzare Lake Formation per gestire l'accesso ai tuoi dati registrando le posizioni delle risorse Data Catalog esistenti in Lake Formation o utilizzando la modalità di accesso ibrida. Quando registri una posizione Amazon S3 in modalità di accesso ibrido, puoi abilitare le autorizzazioni Lake Formation optando per i principali database e tabelle in quella posizione.

Per facilitare la transizione delle autorizzazioni del data lake da un modello IAM e Amazon S3 alle autorizzazioni Lake Formation, ti consigliamo di utilizzare la modalità di accesso ibrida per Data Catalog. Con la modalità di accesso ibrida, hai a disposizione un percorso incrementale in cui puoi abilitare le autorizzazioni di Lake Formation per un set specifico di utenti senza interrompere altri utenti o carichi di lavoro esistenti.

Per ulteriori informazioni, consulta Modalità di accesso ibrida.

Disattiva le impostazioni predefinite del Data Catalog per spostare tutti gli utenti esistenti di una tabella su Lake Formation in un unico passaggio.

Per iniziare a utilizzare le autorizzazioni di Lake Formation con i database e le tabelle AWS Glue Data Catalog esistenti, devi fare quanto segue:

1. Determina le autorizzazioni IAM esistenti degli utenti per ogni database e tabella.

2. Replica queste autorizzazioni in Lake Formation.

3. Per ogni posizione Amazon S3 che contiene dati:

   1. Revoca l'Superautorizzazione del IAMAllowedPrincipals gruppo su ogni risorsa del catalogo dati che fa riferimento a quella posizione.

   2. Registra la posizione con Lake Formation.

4. Pulisci le politiche IAM di controllo degli accessi a grana fine esistenti.

Importante

Per aggiungere nuovi utenti durante il processo di transizione del Data Catalog, devi configurare le AWS Glue autorizzazioni granulari in IAM come in precedenza. È inoltre necessario replicare tali autorizzazioni in Lake Formation come descritto in questa sezione. Se i nuovi utenti dispongono delle politiche IAM dettagliate descritte in questa guida, possono elencare tutti i database o le tabelle a cui è stata concessa l'autorizzazione. Super IAMAllowedPrincipals Possono anche visualizzare i metadati di tali risorse.

Segui i passaggi in questa sezione per eseguire l'aggiornamento al modello di autorizzazioni Lake Formation. Inizia consultando Passaggio 1: Elenca le autorizzazioni esistenti di utenti e ruoli.