Amazon Redshift unterstützt die Verwendung von Python-UDFs nach dem 30. Juni 2026 nicht mehr. Wir werden damit beginnen, es schrittweise durchzusetzen. Weitere Informationen zu den Einzelheiten zum Ende der Lebensdauer und zu den Migrationsoptionen von Python finden Sie in dem Blogbeitrag, der am 30. Juni 2025 veröffentlicht wurde.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Abfragen von Data-Lake-Tabellen mit erweitertem VPC-Routing

Wenn erweitertes VPC-Routing aktiviert ist, leitet Amazon Redshift den Datenverkehr über Ihre VPC weiter. Data-Lake-Tabellen speichern ihre Daten in Amazon S3 und ihre Metadaten in AWS Glue Data Catalog, die sich beide außerhalb Ihrer VPC befinden. Damit Data Lake-Abfragen erfolgreich sind, muss Ihr Cluster oder Ihre Arbeitsgruppe Amazon S3 und AWS Glue erreichen können. Wenn Ihre Data-Lake-Tabellen von AWS Lake Formation verwaltet werden, müssen sie auch Lake Formation erreichen können. Verbessertes VPC-Routing wirkt sich auf die Art und Weise aus, wie Amazon Redshift auf diese externen Ressourcen zugreift, sodass Abfragen fehlschlagen können, wenn Sie Ihre VPC nicht richtig konfigurieren.

Erstellen Sie die folgenden VPC-Endpunkte in der VPC und den Subnetzen, in denen Ihr Cluster oder Ihre Arbeitsgruppe ausgeführt wird, und ordnen Sie sie den entsprechenden Routing-Tabellen zu. Diese Endpunkte sind sowohl für die integrierte Data Lake-Abfrage-Engine als auch für Amazon Redshift Spectrum erforderlich:

Die Endpunktkonfiguration ist unabhängig davon, wie Sie externe Tabellen abfragen, dieselbe, aber die Art und Weise, wie der Datenverkehr weitergeleitet wird, unterscheidet sich je nach Abfrage-Engine. In den folgenden Abschnitten wird das Verhalten der integrierten Data Lake-Abfrage-Engine auf von RG bereitgestellten Clustern und Amazon Redshift Serverless sowie für Redshift Spectrum auf von RA3 und DC2 bereitgestellten Clustern beschrieben.

Integrierte Data-Lake-Abfrage-Engine für von RG bereitgestellte Cluster und Amazon Redshift Serverless

Von RG bereitgestellte Cluster und Amazon Redshift Serverless enthalten eine integrierte Data-Lake-Abfrage-Engine. Diese Engine wird auf den eigenen Rechenressourcen des Clusters oder der Arbeitsgruppe in Ihrer VPC ausgeführt. Wenn das erweiterte VPC-Routing aktiviert ist und die erforderlichen VPC-Endpunkte eingerichtet sind, erfolgt der Zugriff auf Amazon S3 über Ihre VPC-interne Datenverarbeitung und AWS Glue fließt über diese VPC-Endpunkte. Dieser Verkehr verbleibt innerhalb Ihrer VPC-Grenze und im AWS Netzwerk. Dieser Zugriff wird basierend auf der IAM-Rolle autorisiert, die Ihrem Cluster oder Ihrer Arbeitsgruppe zugewiesen ist. Um diesen Datenverkehr weiter zu verwalten, können Sie die IAM-Rolle und die dem Amazon S3 S3-Bucket zugeordnete Richtlinie ändern.

Amazon Redshift Spectrum für bereitgestellte RA3- und DC2-Cluster

Redshift Spectrum wird auf AWS verwalteten Ressourcen ausgeführt, die Amazon Redshift gehören, sich jedoch außerhalb Ihrer VPC befinden. Selbst wenn erweitertes VPC-Routing aktiviert ist, durchläuft der von Redshift Spectrum an Amazon S3 gesendete Datenverkehr daher nicht Ihre VPC, aber der Cluster benötigt weiterhin die zuvor beschriebenen Amazon S3- und AWS Glue VPC-Endpunkte, um Data Lake-Abfragen auszuführen.

Der Datenverkehr zwischen Redshift Spectrum und Amazon S3 wird sicher über das AWS private Netzwerk außerhalb Ihrer VPC geleitet. In-flight Der Datenverkehr wird mit dem Amazon Signature Version 4-Protokoll (Sigv4) signiert und mit HTTPS verschlüsselt. Dieser Datenverkehr wird auf der Grundlage der IAM-Rolle autorisiert, die Ihrem Amazon-Redshift-Cluster angefügt ist. Um den Redshift-Spectrum-Datenverkehr weiter zu verwalten, können Sie die IAM-Rolle Ihres Clusters und Ihre an den Amazon-S3-Bucket angehängte Richtlinie ändern.

Konfiguration der Berechtigungsrichtlinien für Data-Lake-Abfragen

Beachten Sie bei der Abfrage von Data-Lake-Tabellen in Amazon S3 Folgendes:

Zugriffsrichtlinien für Amazon-S3-Buckets und IAM-Rollen

Sie können den Zugriff auf Daten in Ihren Amazon-S3-Buckets mit einer Bucket-Richtlinie steuern, die dem Bucket angefügt ist, aber auch über eine IAM-Rolle, die einem bereitgestellten Cluster angefügt ist.

Redshift Spectrum auf bereitgestellten Clustern kann nicht auf Daten zugreifen, die in Amazon-S3-Buckets gespeichert sind, wenn diese eine Bucket-Richtlinie verwenden, die den Zugriff auf bestimmte VPC-Endpunkte beschränkt. Verwenden Sie stattdessen eine Bucket-Richtlinie, die den Zugriff nur auf bestimmte Prinzipale beschränkt, z. B. auf ein bestimmtes AWS Konto oder bestimmte Benutzer. Die integrierte Data Lake-Abfrage-Engine auf von RG bereitgestellten Clustern und Amazon Redshift Serverless kann auf solche Buckets zugreifen, wenn erweitertes VPC-Routing aktiviert ist, da der Amazon S3 S3-Zugriff über Ihre VPC-Endpunkte erfolgt.

Verwenden Sie für die IAM-Rolle, die Zugriff auf den Bucket erhält, eine Vertrauensstellung, die die Annahme der Rolle nur durch den Amazon-Redshift-Service-Prinzipal erlaubt. Wenn die Rolle Ihrem Cluster angefügt ist, kann sie nur im Kontext von Amazon Redshift verwendet und nicht außerhalb des Clusters freigegeben werden. Weitere Informationen finden Sie unter Einschränken des Zugriffs auf IAM-Rollen. Es kann auch eine Service-Kontrollrichtlinie (SCP) verwendet werden, um die Rolle weiter einzuschränken. Weitere Informationen finden Sie unter Verhindern, dass IAM-Benutzer und -Rollen bestimmte Änderungen vornehmen, mit Ausnahme für eine angegebene Administratorrolle im AWS Organizations -Benutzerhandbuch.

Die folgende Beispiel-Bucket-Richtlinie ermöglicht den Zugriff auf den angegebenen Bucket, der dem Konto gehört. AWS 123456789012

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "BucketPolicyForSpectrum",
            "Effect": "Allow",
            "Principal": {
                "AWS": ["arn:aws:iam::123456789012:role/redshift"]
            },
            "Action": [
                "s3:GetObject",
                "s3:ListBucketVersions",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        }
    ]
}

Berechtigungen für die Annahme der IAM-Rolle

Die Ihrem Cluster angefügte Rolle sollte über eine Vertrauensstellung verfügen, die die Annahme der Rolle nur dem Amazon-Redshift-Service erlaubt, wie nachfolgend gezeigt.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "redshift.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Weitere Informationen finden Sie unter IAM-Richtlinien für Redshift Spectrum im Datenbankentwicklerhandbuch zu Amazon Redshift.

Protokollieren und Prüfen des Amazon-S3-Zugriffs

Ein Vorteil der Verwendung von Enhanced VPC Routing für Amazon Redshift ist, dass der gesamte COPY- und UNLOAD-Datenverkehr in den VPC-Flow-Protokollen protokolliert wird. Von Redshift Spectrum stammender Datenverkehr zu Amazon S3 wird nicht durch Ihre VPC geleitet und wird daher auch nicht in den VPC-Flow-Protokollen aufgezeichnet. Wenn Redshift Spectrum auf Daten in Amazon S3 zugreift, führt es diese Vorgänge im Kontext des AWS Kontos und der jeweiligen Rollenrechte aus. Sie können den Amazon-S3-Zugriff mithilfe von Serverzugriffsprotokollierung in AWS CloudTrail und Amazon S3 protokollieren und prüfen.

Stellen Sie sicher, dass die S3-IP-Bereiche zu Ihrer Zulassungsliste hinzugefügt werden. Weitere Informationen zu den erforderlichen S3-IP-Bereichen finden Sie unter Netzwerkisolierung.

AWS CloudTrail Protokolle

Um den gesamten Zugriff auf Objekte in Amazon S3, einschließlich des Redshift Spectrum-Zugriffs, nachzuverfolgen, aktivieren CloudTrail Sie die Protokollierung für Amazon S3 S3-Objekte.

Sie können CloudTrail damit Kontoaktivitäten in Ihrer gesamten AWS Infrastruktur anzeigen, suchen, herunterladen, archivieren, analysieren und darauf reagieren. Weitere Informationen finden Sie unter Erste Schritte mit CloudTrail.

Verfolgt standardmäßig nur CloudTrail Aktionen auf Bucket-Ebene. Um Aktionen auf Objektebene (z. B. GetObject) zu verfolgen, aktivieren Sie Daten- und Verwaltungsereignisse für jeden protokollierten Bucket.

Amazon-S3-Server-Zugriffsprotokollierung

Die Server-Zugriffsprotokollierung bietet detaillierte Aufzeichnungen über die Anforderungen, die an einen Bucket gestellt wurden. Die Zugriffsprotokollinformationen können für Sicherheits- und Zugriffsüberprüfungen nützlich sein. Weitere Informationen finden Sie unter So aktivieren Sie die Server-Zugriffsprotokollierung im Benutzerhandbuch zu Amazon Simple Storage Service.

Weitere Informationen finden Sie im AWS Sicherheits-Blogbeitrag How to Use Bucket Policies and Apply Defense-in-Depth , um Ihre Amazon S3 S3-Daten zu schützen.

Zugriff auf AWS Glue oder Amazon Athena

Sowohl Redshift Spectrum als auch die integrierte Data Lake-Abfrage-Engine greifen auf Ihren Datenkatalog in AWS Glue oder Athena zu. Eine weitere Option ist die Verwendung eines speziellen Hive-Metastores für Ihren Datenkatalog.

Der empfohlene Weg, um das zu erreichen, AWS Glue Data Catalog besteht darin, eine VPC-Schnittstelle (AWS PrivateLink) für AWS Glue zu erstellen. Wenn Sie einen VPC-Schnittstellenendpunkt verwenden, AWS Glue wird die Kommunikation zwischen Ihrer VPC und innerhalb des Netzwerks geroutet. AWS Weitere Informationen finden Sie unter Erstellen eines Schnittstellenendpunkts.

Um die öffentlichen Endpunkte für AWS Glue und Athena zu erreichen, konfigurieren Sie Ihre VPC alternativ mit einem Internet-Gateway oder NAT-Gateway und konfigurieren Sie Ihre VPC-Sicherheitsgruppen so, dass ausgehender Datenverkehr zu diesen öffentlichen Endpunkten zugelassen wird. Sie können in Ihrer VPC die folgenden Pfade konfigurieren: