View a markdown version of this page

Buone pratiche e considerazioni per il controllo degli accessi basato su tag Lake Formation - AWS Lake Formation

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Buone pratiche e considerazioni per il controllo degli accessi basato su tag Lake Formation

È possibile creare, gestire e LF-Tags assegnare o controllare l'accesso ai database, alle tabelle e alle colonne di Data Catalog.

Prendi in considerazione le seguenti best practice quando utilizzi il controllo degli accessi basato su tag Lake Formation:

  • Tutti LF-Tags devono essere predefiniti prima di poter essere assegnati alle risorse del Data Catalog o concessi ai responsabili.

    L'amministratore del data lake può delegare le attività di gestione dei tag creando LF-Tag creatori con le autorizzazioni IAM richieste. I data engineer e gli analisti decidono le caratteristiche e le relazioni per. LF-Tags I LF-Tag creatori quindi creano e mantengono il LF-Tags in Lake Formation.

  • È possibile assegnarne più di una LF-Tags alle risorse di Data Catalog. È possibile assegnare un solo valore per una particolare chiave a una particolare risorsa.

    Ad esempio, è possibile assegnaremodule=Orders, region=Westdivision=Consumer, e così via a un database, una tabella o una colonna. Non puoi module=Orders,Customers assegnare.

  • Non puoi LF-Tags assegnare risorse quando crei la risorsa. È possibile LF-Tags aggiungere solo risorse esistenti.

  • È possibile concedere LF-Tag espressioni, non solo singole LF-Tags, a un principale.

    Un' LF-Tag espressione ha un aspetto simile alla seguente (in pseudo-codice).

    module=sales AND division=(consumer OR commercial)

    Un principale a cui viene concessa questa LF-Tag espressione può accedere solo alle risorse del Data Catalog (database, tabelle e colonne) module=sales assegnate e a una delle due opzioni. division=consumer division=commercial Se desideri che il principale sia in grado di accedere a risorse che dispongono module=sales o division=commercial non includono entrambe nella stessa concessione. Fai due sovvenzioni, una per module=sales e una perdivision=commercial.

    L' LF-Tag espressione più semplice è costituita da una sola LF-Tag, ad esempiomodule=sales.

  • Un principale a cui sono concesse le autorizzazioni su un LF-Tag file con più valori può accedere alle risorse del Data Catalog con uno di questi valori. Ad esempio, se a un utente viene concesso un LF-Tag with key= module e values=orders,customers, l'utente ha accesso alle risorse assegnate o. module=orders module=customers

  • È necessario disporre Grant with LF-Tag expressions dell'autorizzazione per concedere le autorizzazioni relative ai dati sulle risorse del Catalogo dati utilizzando il metodo. LF-TBAC L'amministratore del data lake e il LF-Tag creatore ricevono implicitamente questa autorizzazione. Un principale che dispone dell'Grant with LFTag expressionsautorizzazione può concedere le autorizzazioni relative ai dati sulle risorse utilizzando:

    • il metodo di risorsa denominato

    • il LF-TBAC metodo, ma usando solo la stessa LF-Tag espressione

      Ad esempio, supponiamo che l'amministratore del data lake conceda la seguente concessione (in pseudo-codice).

      GRANT (SELECT ON TABLES) ON TAGS module=customers, region=west,south TO user1 WITH GRANT OPTION

      In questo caso, user1 può concedere SELECT tabelle ad altri principali utilizzando il LF-TBAC metodo, ma solo con l'espressione completa. LF-Tag module=customers, region=west,south

  • Se a un principale vengono concesse le autorizzazioni su una risorsa sia con il LF-TBAC metodo che con il metodo della risorsa denominata, le autorizzazioni che il principale ha sulla risorsa sono l'unione delle autorizzazioni concesse da entrambi i metodi.

  • Lake Formation supporta la concessione DESCRIBE e ASSOCIATE l'attivazione di LF-Tags più account e la concessione di autorizzazioni per le risorse del Data Catalog su più account utilizzando questo metodo. LF-TBAC In entrambi i casi, il principale è l'ID dell'account AWS .

    Nota

    Lake Formation supporta sovvenzioni tra account a organizzazioni e unità organizzative utilizzando LF-TBAC il metodo. Per utilizzare questa funzionalità, è necessario aggiornare le impostazioni della versione di Cross account alla versione 3.

    Per ulteriori informazioni, consulta Cross-account condivisione dei dati in Lake Formation.

  • Le risorse di Data Catalog create in un account possono essere taggate solo utilizzando quelle LF-Tags create nello stesso account. LF-Tags le risorse create in un account non possono essere associate alle risorse condivise di un altro account.

  • L'utilizzo del controllo di accesso basato su tag Lake Formation (LF-TBAC) per concedere l'accesso a più account alle risorse del Data Catalog richiede l'aggiunta di alcune norme sulle risorse di Data Catalog per il tuo account. AWS Per ulteriori informazioni, consulta Prerequisiti.

  • LF-Tag le chiavi e LF-Tag i valori non possono superare i 50 caratteri di lunghezza.

  • Il numero massimo LF-Tags che può essere assegnato a una risorsa del Data Catalog è 50.

  • I seguenti limiti sono limiti flessibili:

    • Il numero massimo di file LF-Tags che è possibile creare è 10000.

    • Il numero massimo di valori che è possibile definire per a LF-Tag è 1000.

  • Le chiavi e i valori dei tag vengono convertiti in lettere minuscole quando vengono memorizzati.

  • È LF-Tag possibile assegnare un solo valore per a a una particolare risorsa.

  • Se LF-Tags ne vengono concessi più di uno con un'unica concessione, il principale può accedere solo alle risorse del Data Catalog che dispongono di tutte le LF-Tags.

  • Se la valutazione di un' LF-Tag espressione comporta l'accesso solo a un sottoinsieme di colonne della tabella, ma l'autorizzazione Lake Formation concessa in caso di corrispondenza è una delle autorizzazioni che richiedevano l'accesso completo alla colonna, vale a direAlter,Drop, o InsertDelete, non viene concessa nessuna di tali autorizzazioni. Viene invece concesso soloDescribe. Se l'autorizzazione concessa è All (Super), allora solo Select e Describe vengono concesse.

  • I wildcard non vengono utilizzati con LF-Tags. Per assegnare un LF-Tag a a tutte le colonne di una tabella, lo si LF-Tag assegna alla tabella e tutte le colonne della tabella ereditano il. LF-Tag Per assegnare LF-Tag a a tutte le tabelle di un database, lo si LF-Tag assegna al database e tutte le tabelle del database lo ereditano. LF-Tag

  • È possibile creare fino a 1000 LF-Tag espressioni in un account.

  • È possibile utilizzare fino a 50 LF-Tag espressioni per concedere autorizzazioni a un principale sulle risorse del Data Catalog.

  • Quando si concedono o si revocano le autorizzazioni per un'espressione in linea, la dimensione dell' LF-Tag espressione non può superare i 900 LF-Tag byte. Per concedere autorizzazioni su espressioni più grandi LF-Tag , utilizzate le espressioni salvate. LF-Tag Per ulteriori informazioni, consulta Creazione di espressioni LF-Tag.

  • LF-Tag Per aggiungere cataloghi federati Redshift esistenti creati prima della versione di supporto per i cataloghi federati per la disponibilità generale, è necessario contattare il team di LF-Tag supporto per ricevere assistenza. AWS