Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Lake Formation mit IAM Identity Center verbinden
Bevor Sie IAM Identity Center verwenden können, um Identitäten zu verwalten und mithilfe von Lake Formation Zugriff auf Datenkatalogressourcen zu gewähren, müssen Sie die folgenden Schritte ausführen. Sie können die IAM Identity Center-Integration mithilfe der Lake Formation-Konsole oder erstellen. AWS CLI
- AWS-Managementkonsole
-
Um Lake Formation mit IAM Identity Center zu verbinden
Melden Sie sich bei der AWS-Managementkonsole an und öffnen Sie die Lake Formation-Konsole unter https://console.aws.amazon.com/lakeformation/.
Wählen Sie im linken Navigationsbereich die Option IAM Identity Center-Integration aus.
(Optional) Geben Sie eine oder mehrere gültige AWS-Konto IDs, Organisations-IDs und IDs der and/or Organisationseinheiten ein, um externen Konten den Zugriff auf die Datenkatalogressourcen zu ermöglichen. Wenn Benutzer oder Gruppen von IAM Identity Center versuchen, auf von Lake Formation verwaltete Datenkatalogressourcen zuzugreifen, übernimmt Lake Formation eine IAM-Rolle, um den Metadatenzugriff zu autorisieren. Wenn die IAM-Rolle zu einem externen Konto gehört, das keine AWS Glue Ressourcenrichtlinie und keine AWS RAM Ressourcenfreigabe hat, können die IAM Identity Center-Benutzer und -Gruppen nicht auf die Ressource zugreifen, selbst wenn sie über Lake Formation-Berechtigungen verfügen.
Lake Formation verwendet den Dienst AWS Resource Access Manager (AWS RAM), um die Ressource für externe Konten und Organisationen freizugeben. AWS RAM sendet eine Einladung an das Konto des Stipendiaten, die gemeinsame Nutzung der Ressource anzunehmen oder abzulehnen.
Weitere Informationen finden Sie unter Annahme einer Einladung zur gemeinsamen Nutzung von Ressourcen AWS RAM.
Lake Formation ermöglicht es IAM-Rollen von externen Konten, im Namen von IAM Identity Center-Benutzern und -Gruppen als Carrier-Rollen für den Zugriff auf Datenkatalogressourcen zu agieren. Berechtigungen können jedoch nur für Datenkatalogressourcen innerhalb des Eigentümerkontos erteilt werden. Wenn Sie versuchen, IAM Identity Center-Benutzern und -Gruppen Berechtigungen für Datenkatalogressourcen in einem externen Konto zu erteilen, gibt Lake Formation den folgenden Fehler aus: "Cross-account Zuschüsse werden für den Principal nicht unterstützt.“
(Optional) Geben Sie auf dem Integrationsbildschirm „Lake Formation erstellen“ die ARNs von Drittanbieteranwendungen an, die auf Daten an Amazon S3-Standorten zugreifen können, die bei Lake Formation registriert sind. Lake Formation verkauft auf Grundlage der effektiven Berechtigungen temporäre Anmeldeinformationen in Form von AWS STS Token an registrierte Amazon S3-Standorte, sodass autorisierte Anwendungen im Namen der Benutzer auf Daten zugreifen können.
-
(Optional) Markieren Sie auf dem Integrationsbildschirm „Lake Formation erstellen“ das Kontrollkästchen Amazon Redshift Connect unter Trusted Identity Propagation, um die Erkennung von Amazon Redshift Federated Permissions über IDC zu aktivieren. Lake Formation leitet die Identität auf der Grundlage der effektiven Berechtigungen an Downstream weiter, sodass autorisierte Anwendungen im Namen der Benutzer auf Daten zugreifen können.
Wählen Sie Absenden aus.
Nachdem der Lake Formation-Administrator die Schritte abgeschlossen und die Integration erstellt hat, werden die IAM Identity Center-Eigenschaften in der Lake Formation-Konsole angezeigt. Durch die Ausführung dieser Aufgaben wird Lake Formation zu einer IAM Identity Center-fähigen Anwendung. Die Eigenschaften in der Konsole umfassen auch den Integrationsstatus. Der Integrationsstatus gibt an, Success wann die Integration abgeschlossen ist. Dieser Status gibt an, ob die IAM Identity Center-Konfiguration abgeschlossen ist.
- AWS CLI
-
-
Das folgende Beispiel zeigt, wie die Lake Formation-Integration mit IAM Identity Center erstellt wird. Sie können auch das Status (ENABLED,DISABLED) der Anwendungen angeben.
aws lakeformation create-lake-formation-identity-center-configuration \
--catalog-id <123456789012> \
--instance-arn <arn:aws:sso:::instance/ssoins-112111f12ca1122p> \
--share-recipients '[{"DataLakePrincipalIdentifier": "<123456789012>"},
{"DataLakePrincipalIdentifier": "<555555555555>"}]' \
--external-filtering '{"AuthorizedTargets": ["<app arn1>", "<app arn2>"], "Status": "ENABLED"}'
-
Das folgende Beispiel zeigt, wie eine Lake Formation-Integration mit IAM Identity Center angezeigt wird.
aws lakeformation describe-lake-formation-identity-center-configuration
--catalog-id <123456789012>
-
Das folgende Beispiel zeigt, wie die Redshift:Connect Autorisierung aktiviert wird. Die Autorisierung kann AKTIVIERT oder DEAKTIVIERT sein.
aws lakeformation create-lake-formation-identity-center-configuration \
--instance-arn <arn:aws:sso:::instance/ssoins-112111f12ca1122p> \
--service-integrations '[{
"Redshift": [{
"RedshiftConnect": {
"Authorization": "ENABLED"
}
}]
}]'
-
Verwenden Sie den describe-lake-formation-identity-center-configuration Befehl, um die Lake Formation Identity Center-Anwendung zu beschreiben. Redshift:ConnectDie Dienstintegration ist für die service- und clusterübergreifende IDC-Identitätsverbreitung unerlässlich:
aws lakeformation describe-lake-formation-identity-center-configuration --catalog-id <123456789012>
Antwort:
{
"CatalogId": "CATALOG ID",
"InstanceArn": "INSTANCE ARN",
"ApplicationArn": "APPLICATION ARN",
"ShareRecipients": [],
"ServiceIntegrations": [
{
"Redshift": [
{
"RedshiftConnect": {
"Authorization": "ENABLED"
}
}
]
}
]
}
Verwendung von IAM Identity Center auf mehreren AWS-Regionen
Lake Formation unterstützt IAM Identity Center in mehreren Bereichen. AWS-Regionen Sie können IAM Identity Center von Ihrer primären Region AWS-Region auf weitere Regionen erweitern, um die Leistung durch Nähe zu Benutzern und Zuverlässigkeit zu verbessern. Wenn im IAM Identity Center eine neue Region hinzugefügt wird, können Sie Lake Formation Identity Center-Anwendungen in der neuen Region erstellen, ohne Identitäten aus der primären Region replizieren zu müssen. Weitere Informationen zu den ersten Schritten mit IAM Identity Center in mehreren Regionen finden Sie unter Multi-Region IAM Identity Center im IAM Identity Center-Benutzerhandbuch.
