View a markdown version of this page

Prácticas recomendadas y consideraciones sobre el control de acceso basado en etiquetas de Lake Formation - AWS Lake Formation

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Prácticas recomendadas y consideraciones sobre el control de acceso basado en etiquetas de Lake Formation

Puede crear, mantener y asignar LF-Tags para controlar el acceso a las bases de datos, tablas y columnas del catálogo de datos.

Tenga en cuenta las siguientes prácticas recomendadas al usar el control de acceso basado en etiquetas de Lake Formation:

  • Todos LF-Tags deben estar predefinidos antes de poder asignarlos a los recursos del catálogo de datos o concederse a los directores.

    El administrador del lago de datos puede delegar las tareas de administración de etiquetas mediante la creación de LF-Tag creadores con los permisos de IAM necesarios. Los ingenieros y analistas de datos deciden cuáles son sus características y relaciones. LF-Tags Luego, los LF-Tag creadores crean y mantienen el LF-Tags in Lake Formation.

  • Puede asignar varios recursos LF-Tags al catálogo de datos. Solo se puede asignar un valor para una clave en particular a un recurso concreto.

    Por ejemplo, puede asignar module=Orders, region=West, division=Consumer, etc. a una base de datos, tabla o columna. No puede asignar module=Orders,Customers.

  • No puede asignar recursos LF-Tags al crear el recurso. Solo puedes LF-Tags añadir recursos existentes.

  • Puede conceder LF-Tag expresiones, no solo individuales LF-Tags, a un director.

    Una LF-Tag expresión tiene un aspecto parecido al siguiente (en pseudocódigo).

    module=sales AND division=(consumer OR commercial)

    Un director al que se le conceda esta LF-Tag expresión solo puede acceder a los recursos del catálogo de datos (bases de datos, tablas y columnas) que estén asignados module=sales o division=consumer no. division=commercial Si desea que la entidad principal pueda acceder a los recursos que tienen module=sales o division=commercial, no incluya ambos en la misma concesión. Haga dos concesiones, una para module=sales y otra para division=commercial.

    La LF-Tag expresión más simple consiste en una sola LF-Tag, comomodule=sales.

  • Un director al que se concedan permisos en una LF-Tag con varios valores puede acceder a los recursos del catálogo de datos con cualquiera de esos valores. Por ejemplo, si a un usuario se le concede a LF-Tag con key= module y values=orders,customers, el usuario tiene acceso a los recursos que están asignados o bien. module=orders module=customers

  • Debe tener Grant with LF-Tag expressions permiso para conceder permisos de datos sobre los recursos del catálogo de datos mediante este método. LF-TBAC El administrador del lago de datos y el LF-Tag creador reciben este permiso de forma implícita. La entidad principal que tenga el permiso Grant with LFTag expressions puede conceder permisos de datos sobre los recursos mediante:

    • el método de recurso con nombre

    • el LF-TBAC método, pero solo usando la misma expresión LF-Tag

      Por ejemplo, supongamos que el administrador del lago de datos hace la siguiente concesión (en pseudocódigo).

      GRANT (SELECT ON TABLES) ON TAGS module=customers, region=west,south TO user1 WITH GRANT OPTION

      En este caso, user1 puede conceder SELECT información sobre las tablas a otros principales utilizando el LF-TBAC método, pero solo con la LF-Tag expresión module=customers, region=west,south completa.

  • Si a un principal se le conceden permisos sobre un recurso tanto con el LF-TBAC método como con el método de recurso designado, los permisos que el principal tiene sobre el recurso son la unión de los permisos concedidos por ambos métodos.

  • Lake Formation admite la concesión DESCRIBE y activación ASSOCIATE en LF-Tags todas las cuentas, y la concesión de permisos sobre los recursos del catálogo de datos en todas las cuentas mediante LF-TBAC este método. En ambos casos, el principal es un identificador de AWS cuenta.

    nota

    Lake Formation apoya las subvenciones multicuentas a organizaciones y unidades organizativas utilizando el LF-TBAC método. Para utilizar esta prestación, debe actualizar la configuración de la versión entre cuentas a la Versión 3.

    Para obtener más información, consulte Cross-account intercambio de datos en Lake Formation.

  • Los recursos del catálogo de datos creados en una cuenta solo se pueden etiquetar si se LF-Tags crearon en la misma cuenta. LF-Tags creados en una cuenta no se pueden asociar a recursos compartidos de otra cuenta.

  • El uso del control de acceso basado en etiquetas (LF-TBAC) de Lake Formation para conceder acceso entre cuentas a los recursos del catálogo de datos requiere adiciones a la política de recursos del catálogo de datos de su AWS cuenta. Para obtener más información, consulte Requisitos previos.

  • LF-Tag las claves y LF-Tag los valores no pueden superar los 50 caracteres.

  • El número máximo LF-Tags que se puede asignar a un recurso del catálogo de datos es 50.

  • Los siguientes límites son flexibles:

    • El número máximo LF-Tags que se puede crear es 10000.

    • El número máximo de valores que se pueden definir para a LF-Tag es 1000.

  • Las etiquetas, las claves y los valores se convierten en minúsculas cuando se almacenan.

  • Solo se LF-Tag puede asignar un valor para a un recurso en particular.

  • Si LF-Tags se otorgan varios a un principal con una sola concesión, el principal solo puede acceder a los recursos del catálogo de datos que tengan todos los LF-Tags.

  • Si la evaluación de una LF-Tag expresión da como resultado el acceso solo a un subconjunto de columnas de la tabla, pero el permiso de Lake Formation que se concede cuando hay una coincidencia es uno de los permisos que requieren acceso completo a las columnasAlter, es decirDrop,Insert, oDelete, entonces no se concede ninguno de esos permisos. En su lugar, solo se concede Describe. Si el permiso concedido es All (Super), solo se conceden Select y Describe.

  • Los caracteres comodín no se utilizan con. LF-Tags Para asignar un LF-Tag a todas las columnas de una tabla, debe asignarlo LF-Tag a la tabla y todas las columnas de la tabla heredarán el. LF-Tag Para asignar un LF-Tag a todas las tablas de una base de datos, se asigna el LF-Tag a la base de datos y todas las tablas de la base de datos lo heredan. LF-Tag

  • Puede crear hasta 1000 LF-Tag expresiones en una cuenta.

  • Puede usar hasta 50 LF-Tag expresiones para conceder permisos a una entidad principal en los recursos del catálogo de datos.

  • Al conceder o revocar permisos en una LF-Tag expresión en línea, el tamaño de la LF-Tag expresión no puede superar los 900 bytes. Para conceder permisos a LF-Tag expresiones más grandes, utilice las expresiones guardadas LF-Tag . Para obtener más información, consulte Crear expresiones LF-Tag.

  • Para añadir LF-Tag a los catálogos federados de Redshift existentes que se crearon antes de la versión de disponibilidad general del LF-Tag soporte para catálogos federados, debe ponerse en contacto con el equipo de soporte para obtener ayuda. AWS