Considerações e práticas recomendadas de controle de acesso com base em tags do Lake Formation

É possível criar, manter e atribuir tags do LF para controlar o acesso a bancos de dados, tabelas e colunas do catálogo de dados.

Pense nas seguintes práticas recomendadas ao usar o controle de acesso com base em tags do Lake Formation:

• Todas as tags do LF devem ser predefinidas antes de poderem ser atribuídas aos recursos do catálogo de dados ou concedidas às entidades principais.

  O administrador do data lake pode delegar tarefas de gerenciamento de tags criando criadores de tags LF com as permissões necessárias. IAM Os engenheiros e analistas de dados decidem sobre as características e os relacionamentos das tags do LF. Os criadores da tags do LF então criam e mantêm as tags do LF no Lake Formation.

• Você pode atribuir várias tags do LF aos recursos do catálogo de dados. Somente um valor para uma chave específica pode ser atribuído a um recurso específico.

  Por exemplo, você pode atribuir module=Orders, region=West e division=Consumer e assim por diante a um banco de dados, uma tabela ou uma coluna. Você não pode atribuir module=Orders,Customers.

• Você não pode atribuir tags do LF aos recursos ao criá-los. Você só pode adicionar tags do LF aos recursos existentes.

• Você pode conceder expressões de tag do LF, não apenas tags do LF únicas, a uma entidade principal.

  Uma expressão de tag do LF se parece com a seguinte (em pseudocódigo).

  module=sales AND division=(consumer OR commercial)

  Uma entidade principal que recebe essa expressão de tag do LF pode acessar somente os recursos do catálogo de dados (bancos de dados, tabelas e colunas) que receberam module=sales e division=consumer ou division=commercial. Se você quiser que a entidade principal possa acessar recursos que tenham module=sales ou division=commercial, não inclua ambos na mesma concessão. Faça duas concessões, uma para module=sales e outra para division=commercial.

  A expressão de tag do LF mais simples consiste em apenas uma tag do LF, como module=sales.

• Uma entidade principal que recebe permissões em uma tag do LF com vários valores pode acessar os recursos do catálogo de dados com qualquer um deles. Por exemplo, se um usuário receber uma tag do LF com chave = module e valores = orders,customers, o usuário terá acesso aos recursos atribuídos module=orders ou module=customers.

• Você precisa ter Grant with LF-Tag expressions permissão para conceder permissões de dados nos recursos do Catálogo de Dados usando o TBAC método LF-. O administrador do data lake e o criador da tag do LF recebem implicitamente essa permissão. Uma entidade principal que tenha a permissão Grant with LFTag expressions pode conceder permissões de dados sobre os recursos usando:

  • o método de recurso nomeado

  • o TBAC método LF-, mas usando apenas a mesma expressão LF-tag

    Por exemplo, suponha que o administrador do data lake faça a seguinte concessão (em pseudocódigo).

    GRANT (SELECT ON TABLES) ON TAGS module=customers, region=west,south TO user1 WITH GRANT OPTION

    Nesse caso, user1 pode conceder SELECT tabelas a outros diretores usando o TBAC método LF-, mas somente com a expressão LF-tag completa. module=customers, region=west,south

• Se um diretor receber permissões em um recurso com o método LF- e o TBAC método de recurso nomeado, as permissões que o diretor tem sobre o recurso são a união das permissões concedidas pelos dois métodos.

• O Lake Formation oferece suporte à concessão DESCRIBE e ativação ASSOCIATE de etiquetas LF em todas as contas e à concessão de permissões nos recursos do Catálogo de Dados em todas as contas usando o método LF-. TBAC Em ambos os casos, o principal é o ID AWS da conta.

  nota

  A Lake Formation apoia doações entre contas para organizações e unidades organizacionais usando o TBAC método LF-. Para usar esse recurso, você precisa atualizar as Configurações de versão entre contas para a Versão 3.

  Para obter mais informações, consulte Compartilhamento de dados entre contas no Lake Formation.

• Os recursos do catálogo de dados criados em uma conta só podem ser marcados usando tags do LF criadas na mesma conta. As tags do LF criadas em uma conta não podem ser associadas a recursos compartilhados de outra conta.

• Usar o controle de acesso baseado em tags (LF-TBAC) do Lake Formation para conceder acesso entre contas aos recursos do Catálogo de Dados requer acréscimos à política de recursos do Catálogo de Dados para sua conta. AWS Para obter mais informações, consulte Pré-requisitos.

• As chaves da tag do LF e os valores da tag do LF não podem exceder 50 caracteres de comprimento.

• O número máximo de tags do LF que podem ser atribuídas a um recurso do catálogo de dados é 50.

• Os seguintes limites são limites flexíveis:

  • O número máximo de tags do LF que podem ser criados é 1000.

  • O número máximo de valores que podem ser definidos para uma tag do LF é 1000.

• As chaves e valores das tags são convertidos em letras minúsculas quando são armazenados.

• Somente um valor para uma tag do LF pode ser atribuído a um recurso específico.

• Se várias tags do LF forem concedidas a uma entidade principal com uma única concessão, a entidade principal poderá acessar somente os recursos do catálogo de dados que tenham todas as tags do LF.

• AWS Glue ETLos trabalhos exigem acesso total à mesa. Os trabalhos falharão se a AWS Glue ETL função não tiver acesso a todas as colunas em uma tabela. É possível aplicar tags LF em nível de coluna, mas isso pode fazer com que as AWS Glue ETL funções percam o acesso total à tabela e façam com que os trabalhos falhem.

• Se uma avaliação da expressão de tag do LF resultar em acesso somente a um subconjunto de colunas da tabela, mas a permissão Lake Formation concedida quando há uma correspondência for uma das permissões que exigiram acesso total à coluna, ou seja, Alter, Drop, Insert ou Delete, nenhuma dessas permissões será concedida. Em vez disso, somente Describe é concedido. Se a permissão concedida for All (Super), somente Select e Describe serão concedidas.

• Os curingas não são usados com tags LF. Para atribuir uma tag do LF a todas as colunas de uma tabela, atribua a tag do LF à tabela e todas as colunas na tabela herdam a tag do LF. Para atribuir uma tag do LF a todas as tabelas em um banco de dados, atribua a tag do LF ao banco de dados, e todas as tabelas no banco de dados herdam essa tag do LF.