Amazon Redshift non supporterà più l'uso delle UDF di Python dopo il 30 giugno 2026. Inizieremo ad applicarlo gradualmente. Per ulteriori informazioni sulla fine del ciclo di vita di Python e sulle opzioni di migrazione, consulta il post sul blog pubblicato il 30 giugno 2025.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Interrogazione delle tabelle dei data lake con routing VPC migliorato

Quando il routing VPC avanzato è attivato, Amazon Redshift indirizza il traffico attraverso il tuo VPC. Le tabelle Data Lake archiviano i dati in Amazon S3 e i metadati in AWS Glue Data Catalog, entrambi esterni al VPC. Affinché le query sul data lake abbiano esito positivo, il cluster o il gruppo di lavoro deve essere in grado di raggiungere Amazon S3 e. AWS Glue Se le tabelle dei data lake sono gestite da AWS Lake Formation, deve anche essere in grado di raggiungere Lake Formation. Il routing VPC avanzato influisce sul modo in cui Amazon Redshift accede a queste risorse esterne, pertanto le query potrebbero avere esito negativo se non configuri correttamente il tuo VPC.

Crea i seguenti endpoint VPC nel VPC e nelle sottoreti in cui viene eseguito il cluster o il gruppo di lavoro, associandoli alle tabelle di routing appropriate. Questi endpoint sono necessari sia per il motore di query integrato del data lake che per Amazon Redshift Spectrum:

La configurazione degli endpoint è la stessa indipendentemente dal modo in cui vengono eseguite le query sulle tabelle esterne, ma il modo in cui il traffico viene indirizzato varia a seconda del motore di query. Le seguenti sezioni descrivono il comportamento del motore di query integrato Data Lake su cluster con provisioning RG e Amazon Redshift Serverless e per Redshift Spectrum su cluster con provisioning RA3 e DC2.

Motore di query Data Lake integrato per cluster con provisioning RG e Amazon Redshift Serverless

I cluster con provisioning RG e Amazon Redshift Serverless includono un motore di query Data Lake integrato. Questo motore funziona sulle risorse di elaborazione proprie del cluster o del gruppo di lavoro, all'interno del tuo VPC. Quando il routing VPC avanzato è attivato e gli endpoint VPC richiesti sono presenti, l'accesso ad Amazon S3 AWS Glue proviene dal calcolo in-VPC e fluisce attraverso tali endpoint VPC. Questo traffico rimane all'interno dei confini del tuo VPC e sulla rete. AWS Questo accesso è autorizzato in base al ruolo IAM associato al cluster o al gruppo di lavoro. Per gestire ulteriormente questo traffico, puoi modificare il ruolo IAM e la policy allegata al bucket Amazon S3.

Amazon Redshift Spectrum per cluster con provisioning RA3 e DC2

Redshift Spectrum viene eseguito su risorse AWS gestite di proprietà di Amazon Redshift ma esterne al tuo VPC. Di conseguenza, anche quando il routing VPC avanzato è attivato, il traffico che Redshift Spectrum invia ad Amazon S3 non passa attraverso il tuo VPC, ma il cluster richiede comunque gli endpoint Amazon S3 e VPC descritti in precedenza per eseguire le query sui data lake. AWS Glue

Il traffico tra Redshift Spectrum e Amazon S3 viene instradato in modo sicuro attraverso AWS la rete privata, all'esterno del tuo VPC. In-flight il traffico viene firmato utilizzando il protocollo Amazon Signature versione 4 (SigV4) e crittografato tramite HTTPS. Questo traffico è autorizzato in base al ruolo IAM che è associato al cluster Amazon Redshift. Per gestire ulteriormente il traffico di Redshift Spectrum, è possibile modificare il ruolo IAM del cluster e la policy collegata al bucket Amazon S3.

Configurazione delle politiche di autorizzazione per le query sui data lake

Considera quanto segue quando esegui query su tabelle di data lake in Amazon S3:

Policy di accesso ai bucket Amazon S3 e ruoli IAM

Puoi controllare l’accesso ai dati nei bucket Amazon S3 utilizzando una policy di bucket collegata al bucket e un ruolo IAM collegato al cluster con provisioning.

Redshift Spectrum sui cluster con provisioning non può accedere ai dati archiviati nei bucket Amazon S3 che utilizzano una policy per bucket che limita l'accesso solo a specifici endpoint VPC. Utilizza invece una policy bucket che limiti l'accesso solo a soggetti principali specifici, come un account specifico o utenti specifici AWS . Il motore di query Data Lake integrato sui cluster con provisioning RG e Amazon Redshift Serverless possono accedere a tali bucket quando è attivato il routing VPC avanzato, poiché il relativo accesso ad Amazon S3 fluisce attraverso gli endpoint VPC.

Per il ruolo IAM a cui viene concesso l'accesso al bucket, utilizzare una relazione di trust che consente al ruolo di essere assegnato solo al principale di servizio Amazon Redshift. Se collegato al cluster, il ruolo può essere utilizzato solo nel contesto di Amazon Redshift e non può essere condiviso esternamente al cluster. Per ulteriori informazioni, consulta Limitazione dell'accesso a ruoli IAM. È possibile utilizzare anche una policy di controllo dei servizi (SCP) per limitare ulteriormente il ruolo. Vedi Impedire agli utenti e ai ruoli IAM di apportare modifiche specifiche, con un'eccezione per un ruolo di amministratore specificato nella Guida per l'utente AWS Organizations .

L'esempio seguente di policy sui bucket consente l'accesso al bucket specificato di proprietà dell'account. AWS 123456789012

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "BucketPolicyForSpectrum",
            "Effect": "Allow",
            "Principal": {
                "AWS": ["arn:aws:iam::123456789012:role/redshift"]
            },
            "Action": [
                "s3:GetObject",
                "s3:ListBucketVersions",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        }
    ]
}

Autorizzazioni per l’assunzione del ruolo IAM

Il ruolo collegato al cluster deve avere una relazione di trust che gli consenta di essere assunto solo dal servizio Amazon Redshift, come illustrato di seguito.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "redshift.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Per ulteriori informazioni, consulta Policy IAM per Amazon Redshift Spectrum nella Guida per gli sviluppatori di database di Amazon Redshift.

Registrazione e verifica dell'accesso ad Amazon S3

Un vantaggio dell'utilizzo del routing VPC avanzato di Amazon Redshift consiste nel fatto che tutto il traffico COPY e UNLOAD è registrato nei log di flusso VPC. Il traffico originato da Redshift Spectrum ad Amazon S3 non passa attraverso il VPC, perciò non effettua l'accesso nei log di flusso VPC. Quando Redshift Spectrum accede ai dati in Amazon S3, esegue queste operazioni nel contesto dell' AWS account e dei rispettivi privilegi di ruolo. È possibile registrare e controllare l'accesso ad Amazon S3 utilizzando la registrazione degli accessi al server in AWS CloudTrail e Amazon S3.

Assicurati che gli intervalli IP S3 siano aggiunti all'elenco di indirizzi consentiti. Per ulteriori informazioni sugli intervalli IP S3 richiesti, consulta Isolamento di rete.

AWS CloudTrail Log

Per tracciare tutti gli accessi agli oggetti in Amazon S3, incluso l'accesso a Redshift Spectrum, abilita la registrazione CloudTrail per gli oggetti Amazon S3.

Puoi utilizzarlo CloudTrail per visualizzare, cercare, scaricare, archiviare, analizzare e rispondere alle attività dell'account nell'intera infrastruttura. AWS Per ulteriori informazioni, consulta Getting Started with CloudTrail.

Per impostazione predefinita, CloudTrail tiene traccia solo delle azioni a livello di bucket. Per tracciare le operazioni a livello di oggetto (come GetObject), abilitare gli eventi di dati e gestione per ciascun bucket registrato.

Registrazione degli accessi al server Amazon S3

La registrazione degli accessi al server fornisce record dettagliati per le richieste che sono effettuate a un bucket. Il log di accesso può essere utile nei controlli di accesso e di sicurezza. Per ulteriori informazioni, consultare Come abilitare la registrazione degli accessi al server nella Guida per l'utente di Amazon Simple Storage Service.

Per ulteriori informazioni, consulta il post del blog AWS sulla sicurezza How to Use Bucket Policies and Apply Defense-in-Depth to Help Secure Your Amazon S3 Data.

Accesso a AWS Glue o Amazon Athena

Sia Redshift Spectrum che il motore di query integrato Data Lake accedono al tuo catalogo di dati in o AWS Glue Athena. Un'altra opzione consiste nell'utilizzare un Hive Metastore dedicato per il catalogo dati.

Il modo consigliato per raggiungere il AWS Glue Data Catalog è creare un'interfaccia VPC endpoint ()AWS PrivateLink per. AWS Glue Quando utilizzi un endpoint di interfaccia VPC, la comunicazione tra il tuo VPC e il tuo VPC AWS Glue viene instradata all'interno della rete. AWS Per ulteriori informazioni, consulta Creazione di un endpoint di interfaccia.

In alternativa, per AWS Glue raggiungere gli endpoint pubblici di San Athena, configura il tuo VPC con un gateway Internet o un gateway NAT e configura i tuoi gruppi di sicurezza VPC per consentire il traffico in uscita verso quegli endpoint pubblici. È possibile configurare i percorsi seguenti nel VPC: