Kontoübergreifenden Zugriff auf den Datenkatalog konfigurieren
Um auf einen Datenkatalog in einem anderen Konto zuzugreifen, können Sie das kontenübergreifende AWS Glue-Feature von Athena verwenden oder den kontenübergreifenden Zugriff in Lake Formation einrichten.
Option A: Kontoübergreifenden Zugriff auf den Datenkatalog in Athena konfigurieren
Verwenden Sie das kontoübergreifende AWS Glue-Katalogfeature von Athena, um den Katalog in Ihrem Konto zu registrieren. Diese Funktion ist nur in Athena-Engine-Version 2 und späteren Versionen verfügbar und auf die Verwendung in derselben Region zwischen Konten beschränkt. Weitere Informationen finden Sie unter Einen Datenkatalog von einem anderen Konto aus registrieren.
Wenn für den gemeinsam zu nutzenden Datenkatalog eine Ressourcenrichtlinie in AWS Glue konfiguriert ist, muss diese aktualisiert werden, um den Zugriff auf AWS Resource Access Manager zuzulassen und Konto B Berechtigungen zur Verwendung des Datenkatalogs von Konto A zu erteilen.
Weitere Informationen finden Sie unter Kontoübergreifender Zugriff auf AWS Glue-Datenkataloge konfigurieren.
Option B: Kontoübergreifenden Zugriff in Lake Formation konfigurieren
AWS Lake FormationMit können Sie mit einem einzigen Konto einen zentralen Datenkatalog verwalten. Sie können dieses Feature verwenden, um den kontoübergreifenden Zugriff auf Datenkatalog-Metadaten und zugrunde liegende Daten zu implementieren. Beispielsweise kann ein Besitzerkonto einem anderen (Empfänger-)Konto SELECT die Berechtigung für eine Tabelle erteilen.
Damit eine freigegebene Datenbank oder Tabelle im Athena-Abfrage-Editor angezeigt wird, erstellen Sie in Lake Formation einen Ressourcenlink zur freigegebenen Datenbank oder Tabelle. Wenn das Empfängerkonto in Lake Formation die Tabelle des Eigentümers abfragt, fügt CloudTrail das Datenzugriffsereignis zu den Protokollen sowohl für das Empfängerkonto als auch für das Eigentümerkonto hinzu.
Beachten Sie bei freigegebenen Ansichten die folgenden Punkte:
-
Abfragen werden auf Zielressourcen-Links ausgeführt, nicht in der Quelltabelle oder -Ansicht, und dann wird die Ausgabe für das Zielkonto freigegeben.
-
Es reicht nicht aus, nur die Ansicht zu teilen. Alle Tabellen, die an der Erstellung der Ansicht beteiligt sind, müssen Teil der kontoübergreifenden Freigabe sein.
-
Der Name des auf den freigegebenen Ressourcen erstellten Ressourcenlinks muss mit dem Namen der Ressource im Eigentümerkonto übereinstimmen. Wenn der Name nicht übereinstimmt, wird eine Fehlermeldung wie
Fehler bei der Analyse der gespeicherten Ansicht 'awsdatacatalog.angezeigt.my-lf-resource-link.my-lf-view': Zeile 3:3: Schemaschema_nameexistiert nicht
Weitere Informationen zum kontenübergreifenden Zugriff in Lake Formation finden Sie in den folgenden Ressourcen im AWS Lake Formation-Entwicklerhandbuch:
Funktionsweise von Ressourcenverbindungen in Lake Formation
Kontoübergreifende CloudTrail-Protokollierung
