管理外部位置和存儲憑證

步驟1:創建一個我的角色

在AWS,創建了我的角色,讓訪問S3 bucket,你想讓你的用戶訪問。這我的角色必須定義在同一個賬戶S3 bucket。

1. 創建了我的角色,將允許訪問S3 bucket。

   角色創建是一個兩步的過程。在此步驟中,我們簡單地創建這個角色,添加一個臨時信任關係的政策,然後在下一步中修改。你必須修改信任策略後創建角色,因為你的角色必須self-assuming-that,必須配置為信任本身。這個角色之前必須存在添加self-assumption語句。self-assuming角色的信息,請參閱亞馬遜的博客文章。

   1. 創建我的角色自定義信任策略。

   2. 在自定義信任策略場,粘貼以下政策JSON,更換< DATABRICKS_ACCOUNT_ID >你的磚帳戶ID。

      讓你的磚帳戶ID,看到的第一步在AWS配置存儲桶和我的角色。

      這項政策建立cross-account信任關係,以便統一目錄可以假設角色訪問桶中的數據代表磚用戶。這是指定的攻擊主要部分。它是一個靜態值引用一個角色由磚。不要修改它。

      {“版本”:“2012-10-17”,“聲明”:[{“效應”:“允許”,“校長”:{“AWS”:(“攻擊:aws:我::123456767826:角色/ unity-catalog-prod-UCMasterRole-14S5ZJVKOTYTL”]},“行動”:“sts: AssumeRole”,“條件”:{“StringEquals”:{“sts: ExternalId”:“< DATABRICKS_ACCOUNT_ID >”}}})}

   3. 跳過的權限策略配置。你會回到添加在後麵的步驟。

   4. 拯救我的角色。

2. 修改政策的信任關係,使其“self-assuming。”

   1. 回到你救了我的角色,去信任關係選項卡。

   2. 編輯信任關係政策,以下是“允許”的聲明。

      取代< YOUR_AWS_ACCOUNT_ID >和< THIS_ROLE_NAME >與你的實際值我的角色。

      “攻擊:aws:我::< YOUR_AWS_ACCOUNT_ID >: / < THIS_ROLE_NAME >”角色

   你們的政策現在應該是這個樣子(替換文本更新使用你的磚帳戶ID和我角色的值):

   {“版本”:“2012-10-17”,“聲明”:({“效應”:“允許”,“校長”:{“AWS”:(“攻擊:aws:我::414351767826:角色/ unity-catalog-prod-UCMasterRole-14S5ZJVKOTYTL”,“攻擊:aws:我::< YOUR_AWS_ACCOUNT_ID >: / < THIS_ROLE_NAME >”角色]},“行動”:“sts: AssumeRole”,“條件”:{“StringEquals”:{“sts: ExternalId”:“< DATABRICKS_ACCOUNT_ID >”}}}]}

3. 創建以下我政策在同一賬戶S3 bucket,替換以下值:

   • <桶>:S3 bucket的名稱。

   • < KMS_KEY >:可選的。如果啟用了加密,提供的名稱公裏密鑰進行加密S3 bucket的內容。如果加密被禁用,刪除我的整個公裏部分政策。

   • < AWS_ACCOUNT_ID >:你的帳戶ID AWS帳戶(不是你的磚賬戶)。

   • < AWS_IAM_ROLE_NAME >:AWS的名字我您在前麵步驟中創建的角色。

   {“版本”:“2012-10-17”,“聲明”:({“行動”:(“s3: GetObject”,“s3: propertynames”,“s3: DeleteObject”,“s3: ListBucket”,“s3: GetBucketLocation”,“s3: GetLifecycleConfiguration”,“s3: PutLifecycleConfiguration”),“資源”:(“攻擊:aws: s3::: <桶> / *”,“攻擊:aws: s3::: <桶>”),“效應”:“允許”},{“行動”:(“公裏:解密”,“公裏:加密”,公裏:GenerateDataKey *”),“資源”:(“攻擊:aws:公裏:< KMS_KEY >”),“效應”:“允許”},{“行動”:(“sts: AssumeRole”),“資源”:(“攻擊:aws:我::< AWS_ACCOUNT_ID >: / < AWS_IAM_ROLE_NAME >”角色),“效應”:“允許”}]}

   請注意

   • 如果你需要我更具限製性的政策,統一編目,聯係你的磚代表的援助。

   • 磚使用GetLifecycleConfiguration和PutLifecycleConfiguration管理生命周期策略合作夥伴連接所使用的個人舉辦地點和上傳數據的UI。

4. 把我的政策我的角色。

   在角色的許可選項卡,把我剛才創建的政策。

步驟2:給出磚我角色的細節

1. 在磚,登錄到一個工作區metastore有關。

2. 點擊數據。

3. 在屏幕的底部,點擊存儲憑證。

4. 點擊+添加>添加存儲憑證。

5. 輸入憑證的名稱,我的角色是授權統一目錄訪問雲租戶存儲位置,和一個可選的評論。

   提示

   如果您已經定義了一個實例配置文件在磚,你可以點擊實例配置文件副本複製在我的角色攻擊實例配置文件。實例配置文件我的角色必須有一個cross-account信任關係,使磚承擔的角色為了訪問桶代表磚用戶。關於我的角色的更多信息政策和信任關係的需求,明白了步驟1:創建一個我的角色。

6. 點擊保存。

7. 創建一個外部位置引用這個存儲憑證。

您還可以創建一個存儲憑證使用磚起程拓殖的提供者和databricks_storage_credential。