View a markdown version of this page

Meilleures pratiques et considérations relatives au contrôle d'accès basé sur les balises Lake Formation - AWS Lake Formation

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Meilleures pratiques et considérations relatives au contrôle d'accès basé sur les balises Lake Formation

Vous pouvez créer, gérer et attribuer LF-Tags pour contrôler l'accès aux bases de données, aux tables et aux colonnes du catalogue de données.

Tenez compte des meilleures pratiques suivantes lorsque vous utilisez le contrôle d'accès basé sur des balises Lake Formation :

  • Tous LF-Tags doivent être prédéfinis avant de pouvoir être affectés aux ressources du catalogue de données ou accordés aux principaux.

    L'administrateur du lac de données peut déléguer les tâches de gestion des balises en créant des LF-Tag créateurs dotés des autorisations IAM requises. Les ingénieurs de données et les analystes décident des caractéristiques et des relations pour LF-Tags. Les LF-Tag créateurs créent et entretiennent ensuite la Formation LF-Tags in Lake.

  • Vous pouvez en attribuer plusieurs LF-Tags aux ressources du catalogue de données. Une seule valeur pour une clé donnée peut être affectée à une ressource donnée.

    Par exemple, vous pouvez attribuermodule=Orders,region=West,division=Consumer, etc. à une base de données, une table ou une colonne. Vous ne pouvez pas attribuermodule=Orders,Customers.

  • Vous ne pouvez pas LF-Tags attribuer de ressources lorsque vous les créez. Vous ne pouvez ajouter que LF-Tags des ressources existantes.

  • Vous pouvez accorder LF-Tag des expressions, et pas uniquement des expressions uniques LF-Tags, à un principal.

    Une LF-Tag expression ressemble à ce qui suit (en pseudo-code).

    module=sales AND division=(consumer OR commercial)

    Un principal auquel cette LF-Tag expression est accordée ne peut accéder qu'aux ressources du catalogue de données (bases de données, tables module=sales et colonnes) attribuées division=consumer oudivision=commercial. Si vous souhaitez que le directeur puisse accéder à des ressources qui incluent module=sales ou division=commercial non les deux dans la même subvention. Accordez deux subventions, une pour module=sales et une pourdivision=commercial.

    L' LF-Tag expression la plus simple consiste en une seule LF-Tag, telle quemodule=sales.

  • Un principal qui dispose d'autorisations sur un fichier LF-Tag comportant plusieurs valeurs peut accéder aux ressources du catalogue de données avec l'une ou l'autre de ces valeurs. Par exemple, si un utilisateur se voit attribuer un paramètre LF-Tag avec key= module et values=orders,customers, il a accès aux ressources assignées à l'un ou à l'autre. module=orders module=customers

  • Vous devez être Grant with LF-Tag expressions autorisé à accorder des autorisations de données sur les ressources du catalogue de données à l'aide de LF-TBAC cette méthode. L'administrateur du lac de données et le LF-Tag créateur reçoivent implicitement cette autorisation. Un principal Grant with LFTag expressions autorisé peut accorder des autorisations de données sur les ressources en utilisant :

    • la méthode de ressource nommée

    • la LF-TBAC méthode, mais en utilisant uniquement la même LF-Tag expression

      Supposons, par exemple, que l'administrateur du lac de données accorde l'autorisation suivante (en pseudo-code).

      GRANT (SELECT ON TABLES) ON TAGS module=customers, region=west,south TO user1 WITH GRANT OPTION

      Dans ce cas, user1 vous pouvez accorder SELECT des tables à d'autres principaux en utilisant la LF-TBAC méthode, mais uniquement avec l' LF-Tag expression module=customers, region=west,south complète.

  • Si un principal obtient des autorisations sur une ressource à la fois avec la LF-TBAC méthode et la méthode de ressource nommée, les autorisations que le principal possède sur la ressource sont l'union des autorisations accordées par les deux méthodes.

  • Lake Formation prend en charge l'octroi DESCRIBE et ASSOCIATE la LF-Tags réactivation entre comptes, ainsi que l'octroi d'autorisations sur les ressources du catalogue de données entre comptes à l'aide de LF-TBAC cette méthode. Dans les deux cas, le principal est un identifiant de AWS compte.

    Note

    Lake Formation soutient les subventions intercomptes aux organisations et aux unités organisationnelles en utilisant une LF-TBAC méthode. Pour utiliser cette fonctionnalité, vous devez mettre à jour les paramètres de version entre comptes vers la version 3.

    Pour plus d’informations, consultez Cross-account partage de données dans Lake Formation.

  • Les ressources du catalogue de données créées dans un compte ne peuvent être étiquetées qu'en utilisant le terme LF-Tags créé dans le même compte. LF-Tags créé dans un compte ne peut pas être associé aux ressources partagées d'un autre compte.

  • L'utilisation du contrôle d'accès basé sur les balises de Lake Formation (LF-TBAC) pour accorder un accès multicompte aux ressources du catalogue de données nécessite des ajouts à la politique de ressources du catalogue de données de votre AWS compte. Pour plus d’informations, consultez Conditions préalables.

  • LF-Tag les clés et LF-Tag les valeurs ne peuvent pas dépasser 50 caractères.

  • Le nombre maximum de ressources LF-Tags pouvant être attribuées à une ressource de catalogue de données est de 50.

  • Les limites suivantes sont des limites souples :

    • Le nombre maximum de celles-ci LF-Tags pouvant être créées est de 10 000.

    • Le nombre maximum de valeurs pouvant être définies pour a LF-Tag est de 1 000.

  • Les balises, les clés et les valeurs sont converties en minuscules lors de leur stockage.

  • Une seule valeur pour a LF-Tag peut être attribuée à une ressource particulière.

  • Si plusieurs LF-Tags sont accordées à un principal avec une seule subvention, le principal ne peut accéder qu'aux ressources du catalogue de données qui possèdent toutes les LF-Tags.

  • Si LF-Tag l'évaluation d'une expression ne donne accès qu'à un sous-ensemble de colonnes de table, mais que l'autorisation Lake Formation accordée en cas de correspondance est l'une des autorisations nécessitant un accès complet aux colonnes, à savoirAlter, DropInsert, ouDelete, alors aucune de ces autorisations n'est accordée. Au lieu de cela, seul Describe est accordé. Si l'autorisation accordée est All (Super), alors uniquement Select et Describe sont accordées.

  • Les caractères génériques ne sont pas utilisés avec LF-Tags. Pour attribuer un LF-Tag à toutes les colonnes d'un tableau, vous devez l'attribuer LF-Tag au tableau, et toutes les colonnes du tableau héritent du LF-Tag. Pour attribuer un LF-Tag à toutes les tables d'une base de données, vous l'attribuez LF-Tag à la base de données, et toutes les tables de la base de données en héritent LF-Tag.

  • Vous pouvez créer jusqu'à 1 000 LF-Tag expressions dans un compte.

  • Vous pouvez utiliser jusqu'à 50 LF-Tag expressions pour accorder des autorisations à un principal sur les ressources du catalogue de données.

  • Lorsque vous accordez ou révoquez des autorisations sur une LF-Tag expression en ligne, la taille de l' LF-Tag expression ne peut pas dépasser 900 octets. Pour accorder des autorisations sur des LF-Tag expressions de plus grande taille, utilisez les LF-Tag expressions enregistrées. Pour plus d’informations, consultez Création d' LF-Tag expressions.

  • LF-Tag Pour compléter les catalogues fédérés Redshift existants qui ont été créés avant la version de disponibilité générale du LF-Tag support pour les catalogues fédérés, vous devez contacter l'équipe de support pour obtenir de l'aide. AWS