Conceda ao Firehose acesso para replicar as alterações do banco de dados nas tabelas Apache Iceberg

nota

O Firehose oferece suporte ao banco de dados como fonte em todas as regiões AWS GovCloud (US) Regions, exceto Regiões da AWSChina e Ásia-Pacífico (Malásia). Esse recurso está em versão prévia e está sujeito a alterações. Não o use para suas cargas de trabalho de produção.

Você deve ter um perfil do IAM antes de criar um fluxo do Firehose e tabelas do Apache Iceberg usando o AWS Glue. Use as etapas a seguir para criar uma política e um perfil do IAM. O Firehose assume esse perfil do IAM e executa as ações necessárias.

1. Faça login no AWS Management Console e abra o console do IAM em https://console.aws.amazon.com/iam/.

2. Crie uma política e escolha JSON no editor de políticas.

3. Adicione a seguinte política em linha que concede permissões ao Amazon S3, como read/write permissões, permissões para atualizar a tabela no catálogo de dados e outras.

   JSON

   {
   "Version": "2012-10-17",  
       "Statement":
       [    
           {
               "Effect": "Allow",      
               "Action": [
                   "glue:GetTable",
                   "glue:GetDatabase",
                   "glue:UpdateTable",
                   "glue:CreateTable",
                   "glue:CreateDatabase"
               ],      
               "Resource": [   
               "arn:aws:glue:us-east-1:111122223333:catalog",
       "arn:aws:glue:us-east-1:111122223333:database/*",
       "arn:aws:glue:us-east-1:111122223333:table/*/*"             
               ]    
           },        
           {
               "Effect": "Allow",      
               "Action": [
                   "s3:AbortMultipartUpload",
                   "s3:GetBucketLocation",
                   "s3:GetObject",
                   "s3:ListBucket",
                   "s3:ListBucketMultipartUploads",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],      
               "Resource": [   
               "arn:aws::s3:::amzn-s3-demo-bucket",
       "arn:aws::s3:::amzn-s3-demo-bucket/*"              
               ]    
           },      
           {
              "Effect": "Allow",
              "Action": [
                  "kms:Decrypt",
                  "kms:GenerateDataKey"
              ],
              "Resource": [
              "arn:aws::kms:us-east-1:123456789012:key/<key-id>"           
              ],
              "Condition": {
               "StringEquals": {
               "kms:ViaService": "arn:aws::kms:us-east-1:123456789012:key/s3"
                  },
                  "StringLike": {
                  "kms:EncryptionContext:aws:s3:arn": "arn:aws::s3:::amzn-s3-demo-bucket/prefix*"
                  }
              }
           },
           {
              "Effect": "Allow",
              "Action": [
                  "logs:PutLogEvents"
              ],
              "Resource": [
              "arn:aws::logs:"us-east-1:111122223333:log-group:log-group-name>:log-stream:log-stream-name>"
              ]
           },
           {
               "Effect": "Allow",
               "Action": "secretsmanager:GetSecretValue",
               "Resource": "arn:aws::secretsmanager:us-east-1:123456789012:secret:mySecret-abc123>"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:DescribeVpcEndpointServices"
               ],
               "Resource": [
                   "*"
               ]
           }
       ]
   }