本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 安全性 AWS Glue DataBrew 云安全 AWS 是重中之重。作为 AWS 客户，您可以受益于专为满足大多数安全敏感型组织的要求而构建的数据中心和网络架构。 安全是双方 AWS 的共同责任。[责任共担模式](https://aws.amazon.com/compliance/shared-responsibility-model/)将其描述为云*的*安全性和云*中*的安全性： + **云安全** — AWS 负责保护在 AWS 云中运行 AWS 服务的基础架构。 AWS 还为您提供可以安全使用的服务。作为[AWS 合规计划合规计划合规计划合](https://aws.amazon.com/compliance/programs/)的一部分，第三方审计师定期测试和验证我们安全的有效性。要了解适用的合规计划 AWS Glue DataBrew，请参阅 “按合规计划划分的[范围AWS 服务” 中的 “按合规计划](https://aws.amazon.com/compliance/services-in-scope/)”。 + **云端安全**-您的责任由您使用的 AWS 服务决定。您还需要对其他因素负责，包括您的数据的敏感性、您公司的要求以及适用的法律法规。 本文档可帮助您了解在使用时如何应用分担责任模型 AWS Glue DataBrew。以下主题向您介绍如何进行配置 DataBrew 以满足您的安全和合规性目标。您还将学习如何使用其他 AWS 服务来帮助您监控和保护您的 DataBrew 资源。 **Topics** + [中的数据保护 AWS Glue DataBrew](data-protection.md) + [的身份和访问管理 AWS Glue DataBrew](security-iam.md) + [登录和监控 DataBrew](security-logging-and-monitoring.md) + [合规性验证 AWS Glue DataBrew](security-databrew-compliance.md) + [韧性在 AWS Glue DataBrew](disaster-recovery-resiliency.md) + [中的基础设施安全 AWS Glue DataBrew](infrastructure-security.md) + [中的配置和漏洞分析 AWS Glue DataBrew](vulnerability-analysis-and-management.md) # 中的数据保护 AWS Glue DataBrew DataBrew 提供了多项旨在帮助保护您的数据的功能。 **Topics** + [静态加密](encryption-at-rest.md) + [传输中加密](encryption-in-transit.md) + [密钥管理](key-management.md) + [识别和处理个人身份信息（PII）](personal-information-protection.md) + [DataBrew 对其他 AWS 服务的依赖](dependency-on-other-services.md) 分 AWS [担责任模型](https://aws.amazon.com/compliance/shared-responsibility-model/)适用于中的数据保护 AWS Glue DataBrew。如本模型所述 AWS ，负责保护运行所有内容的全球基础架构 AWS 云。您负责维护对托管在此基础结构上的内容的控制。您还负责您所使用的 AWS 服务 的安全配置和管理任务。有关数据隐私的更多信息，请参阅[数据隐私常见问题](https://aws.amazon.com/compliance/data-privacy-faq/)。有关欧洲数据保护的信息，请参阅 *AWS Security Blog* 上的 [AWS Shared Responsibility Model and GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr/) 博客文章。 出于数据保护目的，我们建议您保护 AWS 账户 凭证并使用 AWS IAM Identity Center 或 AWS Identity and Access Management (IAM) 设置个人用户。这样，每个用户只获得履行其工作职责所需的权限。还建议您通过以下方式保护数据： + 对每个账户使用多重身份验证（MFA）。 + 用于 SSL/TLS 与 AWS 资源通信。我们要求使用 TLS 1.2，建议使用 TLS 1.3。 + 使用设置 API 和用户活动日志 AWS CloudTrail。有关使用 CloudTrail 跟踪捕获 AWS 活动的信息，请参阅《*AWS CloudTrail 用户指南》*中的[使用跟 CloudTrail 踪](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html)。 + 使用 AWS 加密解决方案以及其中的所有默认安全控件 AWS 服务。 + 使用高级托管安全服务（例如 Amazon Macie），它有助于发现和保护存储在 Amazon S3 中的敏感数据。 + 如果您在 AWS 通过命令行界面或 API 进行访问时需要经过 FIPS 140-3 验证的加密模块，请使用 FIPS 端点。有关可用的 FIPS 端点的更多信息，请参阅《美国联邦信息处理标准（FIPS）第 140-3 版》[https://aws.amazon.com/compliance/fips/](https://aws.amazon.com/compliance/fips/)。 强烈建议您切勿将机密信息或敏感信息（如您客户的电子邮件地址）放入标签或自由格式文本字段（如**名称**字段）。这包括您使用控制台、API DataBrew 或以其他 AWS 服务 方式使用控制台 AWS CLI、API 或时 AWS SDKs。在用于名称的标签或自由格式文本字段中输入的任何数据都可能会用于计费或诊断日志。如果您向外部服务器提供 URL，强烈建议您不要在网址中包含凭证信息来验证对该服务器的请求。 # 静态加密 DataBrew 支持 DataBrew 项目和作业的静态数据加密。项目和作业可以读取加密数据，作业可以通过调用 [AWS Key Management Service （AWS KMS）](https://aws.amazon.com/kms/)生成密钥来写入加密数据，并解密数据。您还可以使用 KMS 密钥对作业生成的任务日志进行加密。 DataBrew 您可以使用 DataBrew 控制台或 DataBrew API 指定加密密钥。 **重要** AWS Glue DataBrew 仅支持对称 AWS KMS 密钥。有关更多信息，请参阅《AWS Key Management Service 开发人员指南》**中的 [AWS KMS 密钥](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#kms_keys)。 在 DataBrew 启用加密的情况下创建任务时，您可以使用 DataBrew 控制台指定 S3 托管的服务器端加密密钥 (SSE-S3) 或存储在 (SSE-KMS) 中的 AWS KMS KMS 密钥来加密静态数据。 **重要** 使用 Amazon Redshift 数据集时，卸载到所提供临时目录的对象使用 SSE-S3 进行加密。 # 加密作业写入的数据 DataBrew DataBrew 任务可以写入加密的 Amazon S3 目标和加密的 Amazon CloudWatch 日志。 **Topics** + [设置 DataBrew 为使用加密](#encryption-setup-DataBrew) + [为 VPC 任务创建通往 AWS KMS 的路由](#encryption-kms-vpc-endpoint) + [使用 AWS KMS 密钥设置加密](#console-security-configurations-wizard) ## 设置 DataBrew 为使用加密 按照以下步骤将您的 DataBrew 环境设置为使用加密。 **将您的 DataBrew 环境设置为使用加密** 1. 创建或更新您的 AWS KMS 密钥以向传递给 DataBrew 任务的 AWS Identity and Access Management (IAM) 角色 AWS KMS 授予权限。这些 IAM 角色用于加密 CloudWatch 日志和 Amazon S3 目标。有关更多信息，请参阅 *Amazon Lo CloudWatch gs 用户指南 AWS KMS中的使用加密 CloudWatch 日志*[数据](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/encrypt-log-data-kms.html)。 在以下示例中，*`"role1"`**`"role2"`*、和*`"role3"`*是传递给 DataBrew 任务的 IAM 角色。此策略声明描述了 KMS 密钥策略，该策略提供允许使用此 KMS 密钥对列出的 IAM 角色进行加密和解密的权限。 ``` { "Effect": "Allow", "Principal": { "Service": "logs.region.amazonaws.com", "AWS": [ "role1", "role2", "role3" ] }, "Action": [ "kms:Encrypt*", "kms:Decrypt*", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:Describe*" ], "Resource": "*" } ``` 如果您使用密钥对 CloudWatch 日志进行加密`"Service": "logs.region.amazonaws.com"`，则必须使用该`Service`语句（如所示）。 1. 确保在使用 AWS KMS 密钥`ENABLED`之前将其设置为。 有关使用 AWS KMS 密钥策略指定权限的更多信息，请参阅[中的使用密钥策略 AWS KMS](https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html)。 ## 为 VPC 任务创建通往 AWS KMS 的路由 您可以通过 Virtual Private Cloud (VPC) 中的私有端点直接连接到 AWS KMS ，而不是通过互联网连接。当您使用 VPC 终端节点时，您 AWS KMS 的 VPC 和 VPC 之间的通信完全在 AWS 网络内进行。 您可以在 AWS KMS VPC 内创建 VPC 终端节点。如果不执行此步骤，您的 DataBrew 作业可能会失败`kms timeout`。有关详细说明，请参阅《*AWS Key Management Service 开发人员指南》*中的 “[AWS KMS 通过 VPC 终端节点连接](https://docs.aws.amazon.com/kms/latest/developerguide/kms-vpc-endpoint.html)”。 当您按照这些说明操作时，请务必在 [VPC 控制台](https://console.aws.amazon.com//vpc)上执行以下操作： + 选择**启用私有 DNS 名称**。 + 对于**安全组**，选择用于访问 Java 数据库连接 (JDBC) 的 DataBrew 作业的安全组（包括自引用规则）。 运行访问 JDBC 数据存储的 DataBrew 作业时， DataBrew 必须有通往终端节点的路由。 AWS KMS 您可以为路由提供网络地址转换 (NAT) 网关或 AWS KMS VPC 终端节点。要创建 NAT 网关，请参阅 *Amazon VPC 用户指南*中的 [NAT 网关](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html)。 ## 使用 AWS KMS 密钥设置加密 当您对任务启用加密时，它会同时适用于 Amazon S3 和 CloudWatch。传递的 IAM 角色必须具有以下 AWS KMS 权限。 有关更多信息，请参阅 *Amazon Simple Storage Service 用户指南*中的以下主题： + 有关 `SSE-S3` 的更多信息，请参阅[使用具有 Amazon S3 托管加密密钥 (SSE-S3) 的服务器端加密 (SSE-S3) 保护数据](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingServerSideEncryption.html)。 + 有关信息`SSE-KMS`，请参阅[使用 KMS AWS 托管密钥的服务器端加密 (SSE-KMS) 保护数据](https://docs.aws.amazon.com/AmazonS3/latest/userguide/UsingKMSEncryption.html)。 # 传输中加密 AWS 为传输中的数据提供安全套接字层 (SSL) 加密。 DataBrew 对 JDBC 数据源的支持得以实现。 AWS Glue连接到 JDBC 数据源时， DataBrew 使用 AWS Glue 连接上的设置，包括 “**需要 SSL 连接**” 选项。有关更多信息，请参阅《AWS Glue 开发人员指南》**中的 [AWS Glue 连接属性 - AWS Glue](https://docs.aws.amazon.com/glue/latest/dg/connection-defining.html)。 AWS KMS 提供 “自带密钥” 加密和服务器端加密，用于 DataBrew 提取、转换、加载 (ETL) 处理和。 AWS Glue Data Catalog # 密钥管理 您可以将 IAM 与结合使用 DataBrew 来定义用户、 AWS 资源、群组、角色以及有关访问权限、拒绝等的精细策略。 您可以根据组织的需要，同时使用基于资源和基于身份的策略来定义对元数据的访问。基于资源的策略列出了允许或拒绝访问您的资源的委托人，允许您设置跨账户访问等策略。身份策略专门附加到 IAM 中的用户、组和角色。 DataBrew 支持创建自己 AWS KMS key 的 “自带密钥” 加密。 DataBrew 还使用来自的 KMS 密钥 AWS KMS 为 DataBrew 任务提供服务器端加密。 # 识别和处理个人身份信息（PII） 在构建分析函数或机器学习模型时，您需要采取保护措施来防止个人身份信息（PII）数据泄露。*PII* 是可用于识别个人身份的个人数据，例如地址、银行账号或电话号码。例如，当数据分析师和数据科学家使用数据集来发现一般人口统计信息时，他们应无权访问特定个人的 PII。 DataBrew 提供数据屏蔽机制，用于在数据准备过程中模糊处理 PII 数据。根据组织的需求，有不同的 PII 数据编辑机制可用。您可以对 PII 数据进行模糊处理，这样用户便无法将其还原，也可以使模糊处理具有可逆性。 识别和屏蔽中的 PII 数据 DataBrew 涉及构建一组转换，客户可以使用这些转换来编辑 PII 数据。此过程的一部分是在 DataBrew 控制台上的数据**配置文件概述仪表板中提供 PII 数据**检测和统计信息。 您可以使用以下数据掩蔽方法： + *替代*：将 PII 数据替换为其他看起来真实的值。 + *随机排序*：将同一列的值随机排序到不同的行中。 + *确定性加密*：对列值应用确定性加密算法。确定性加密始终为值生成相同的加密文字。 + *概率加密*：对列值应用概率加密算法。每次应用概率加密时都会生成不同的加密文字。 + *解密*：根据加密密钥对列进行解密。 + *清空或删除*：将特定字段替换为空值或删除该列。 + *屏蔽*：将字符置乱或屏蔽列中的某些部分。 + *哈希*：对列值应用哈希函数。 有关使用转换的更多信息，请参阅[个人身份信息（PII）掩蔽步骤](https://docs.aws.amazon.com/databrew/latest/dg/recipe-actions.pii.html)。有关使用配置文件作业检测 PII 的更多信息，包括可以检测到的实体类型列表，请参阅以编程方式*构建配置文件作业配置中有关配置 PII 的EntityDetectorConfiguration *[部分](https://docs.aws.amazon.com/databrew/latest/dg/profile.configuration.html#entity-detector-configuration)。 # DataBrew 对其他 AWS 服务的依赖 要使用 DataBrew 控制台，您需要一组最低权限才能使用 AWS 账户的 DataBrew 资源。除这些 DataBrew 权限外，控制台还需要以下服务的权限： + CloudWatch 记录显示日志的权限。 + 用于列出并传递角色的 IAM 权限。 + 列出 VPC、子网、安全组、实例和其他对象的 Amazon EC2 权限。 DataBrew 使用这些权限来设置 Amazon EC2 项目，例如 VPCs 在运行 DataBrew 任务时。 + 用于列出存储桶和对象的 Amazon S3 权限。 + AWS Glue 读取 AWS Glue 架构对象（例如数据库、分区、表和连接）的权限。 + AWS Lake Formation 使用 Lake Formation 数据湖的权限。 # 的身份和访问管理 AWS Glue DataBrew AWS Identity and Access Management (IAM) AWS 服务 可帮助管理员安全地控制对 AWS 资源的访问权限。IAM 管理员控制谁可以*进行身份验证*（登录）和*授权*（拥有权限）使用 DataBrew 资源。您可以使用 IAM AWS 服务 ，无需支付额外费用。 **Topics** + [使用身份进行身份验证](#security_iam_authentication) + [使用策略管理访问](#security_iam_access-manage) + [AWS Glue DataBrew 和 AWS Lake Formation](#lake-formation) + [如何 AWS Glue DataBrew 与 IAM 配合使用](security_iam_service-with-iam.md) + [基于身份的策略示例 AWS Glue DataBrew](security_iam_id-based-policy-examples.md) + [AWS 的托管策略 AWS Glue DataBrew](aws-managed-policies.md) + [对中的身份和访问进行故障排除 AWS Glue DataBrew](security_iam_troubleshoot.md) ## 使用身份进行身份验证 身份验证是您 AWS 使用身份凭证登录的方式。您必须以 IAM 用户身份进行身份验证 AWS 账户根用户，或者通过担任 IAM 角色进行身份验证。 您可以使用来自身份源的证书 AWS IAM Identity Center （例如（IAM Identity Center）、单点登录身份验证或 Google/Facebook 证书，以联合身份登录。有关登录的更多信息，请参阅《AWS 登录 用户指南》**中的[如何登录您的 AWS 账户](https://docs.aws.amazon.com/signin/latest/userguide/how-to-sign-in.html)。 对于编程访问， AWS 提供 SDK 和 CLI 来对请求进行加密签名。有关更多信息，请参阅*《IAM 用户指南》*中的[适用于 API 请求的AWS 签名版本 4](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_sigv.html)。 ### AWS 账户 root 用户 创建时 AWS 账户，首先会有一个名为 AWS 账户 *root 用户的*登录身份，该身份可以完全访问所有资源 AWS 服务 和资源。我们强烈建议不要使用根用户进行日常任务。有关要求根用户凭证的任务，请参阅*《IAM 用户指南》*中的[需要根用户凭证的任务](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#root-user-tasks)。 ### 用户和组 *[IAM 用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html)*是对某个人员或应用程序具有特定权限的一个身份。建议使用临时凭证，而非具有长期凭证的 IAM 用户。有关更多信息，请参阅 *IAM 用户指南*[中的要求人类用户使用身份提供商的联合身份验证才能 AWS 使用临时证书进行访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html#bp-users-federation-idp)。 [https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html)指定一组 IAM 用户，便于更轻松地对大量用户进行权限管理。有关更多信息，请参阅*《IAM 用户指南》*中的 [IAM 用户使用案例](https://docs.aws.amazon.com/IAM/latest/UserGuide/gs-identities-iam-users.html)。 ### IAM 角色 *[IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)*是具有特定权限的身份，可提供临时凭证。您可以通过[从用户切换到 IAM 角色（控制台）](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_use_switch-role-console.html)或调用 AWS CLI 或 AWS API 操作来代入角色。有关更多信息，请参阅《IAM 用户指南》**中的[担任角色的方法](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_manage-assume.html)。 IAM 角色对于联合用户访问、临时 IAM 用户权限、跨账户访问、跨服务访问以及在 Amazon EC2 上运行的应用程序非常有用。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 ## 使用策略管理访问 您可以 AWS 通过创建策略并将其附加到 AWS 身份或资源来控制中的访问权限。策略定义了与身份或资源关联时的权限。 AWS 在委托人提出请求时评估这些政策。大多数策略都以 JSON 文档的 AWS 形式存储在中。有关 JSON 策略文档的更多信息，请参阅*《IAM 用户指南》*中的 [JSON 策略概述](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#access_policies-json)。 管理员使用策略，通过定义哪个**主体**可以在什么**条件**下对哪些**资源**执行哪些**操作**来指定谁有权访问什么。 默认情况下，用户和角色没有权限。IAM 管理员创建 IAM 策略并将其添加到角色中，然后用户可以担任这些角色。IAM 策略定义权限，与执行操作所用的方法无关。 ### 基于身份的策略 基于身份的策略是您附加到身份（用户、组或角色）的 JSON 权限策略文档。这些策略控制身份可以执行什么操作、对哪些资源执行以及在什么条件下执行。要了解如何创建基于身份的策略，请参阅《IAM 用户指南》**中的[使用客户管理型策略定义自定义 IAM 权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html)。 基于身份的策略可以是*内联策略*（直接嵌入到单个身份中）或*托管策略*（附加到多个身份的独立策略）。要了解如何在托管策略和内联策略之间进行选择，请参阅*《IAM 用户指南》*中的[在托管策略与内联策略之间进行选择](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-choosing-managed-or-inline.html)。 ### 基于资源的策略 基于资源的策略是附加到资源的 JSON 策略文档。示例包括 IAM *角色信任策略*和 Amazon S3 *存储桶策略*。在支持基于资源的策略的服务中，服务管理员可以使用它们来控制对特定资源的访问。您必须在基于资源的策略中[指定主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html)。 基于资源的策略是位于该服务中的内联策略。您不能在基于资源的策略中使用 IAM 中的 AWS 托管策略。 DataBrew 不支持基于资源的策略。 ### 访问控制列表 (ACLs) 访问控制列表 (ACLs) 控制哪些委托人（账户成员、用户或角色）有权访问资源。 ACLs 与基于资源的策略类似，尽管它们不使用 JSON 策略文档格式。 Amazon S3 和 Amazon VPC 就是支持的服务示例 ACLs。 AWS WAF要了解更多信息 ACLs，请参阅《*亚马逊简单存储服务开发者指南*》中的[访问控制列表 (ACL) 概述](https://docs.aws.amazon.com/AmazonS3/latest/userguide/acl-overview.html)。 DataBrew 不支持 ACLs。 ### 其他策略类型 AWS 支持其他策略类型，这些策略类型可以设置更常见的策略类型授予的最大权限： + **权限边界** – 设置基于身份的策略可以授予 IAM 实体的最大权限。有关更多信息，请参阅《 IAM 用户指南》**中的 [IAM 实体的权限边界](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_boundaries.html)。 + **服务控制策略 (SCPs)**-在中指定组织或组织单位的最大权限 AWS Organizations。有关更多信息，请参阅《AWS Organizations 用户指南》**中的[服务控制策略](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html)。 + **资源控制策略 (RCPs)**-设置账户中资源的最大可用权限。有关更多信息，请参阅《*AWS Organizations 用户指南》*中的[资源控制策略 (RCPs)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html)。 + **会话策略** – 在为角色或联合用户创建临时会话时，作为参数传递的高级策略。有关更多信息，请参阅《IAM 用户指南》**中的[会话策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html#policies_session)。 ### 多个策略类型 当多个类型的策略应用于一个请求时，生成的权限更加复杂和难以理解。要了解在涉及多种策略类型时如何 AWS 确定是否允许请求，请参阅 *IAM 用户指南*中的[策略评估逻辑](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_evaluation-logic.html)。 ## AWS Glue DataBrew 和 AWS Lake Formation AWS Glue DataBrew 支持对 AWS Glue Data Catalog 表的 AWS Lake Formation 权限。当数据集使用在 Lake Formation 中注册的 AWS Glue Data Catalog 表时，提供给项目或作业的 IAM 角色必须对该表具有[描述](https://docs.aws.amazon.com/lake-formation/latest/dg/lf-permissions-reference.html#perm-describe)和 SE [LECT](https://docs.aws.amazon.com/lake-formation/latest/dg/lf-permissions-reference.html#perm-select) Lake Formation 权限。 AWS Glue DataBrew 支持基于写入 AWS Glue Data Catalog 表 AWS Lake Formation。当 DataBrew 作业使用在 Lake Formation 中注册的数据目录时，提供给这些任务的 IAM 角色必须拥有 Lake Formation 对相关表的[插入](https://docs.aws.amazon.com/lake-formation/latest/dg/lf-permissions-reference.html#perm-insert)、[更改](https://docs.aws.amazon.com/lake-formation/latest/dg/lf-permissions-reference.html#perm-alter)和[删除](https://docs.aws.amazon.com/lake-formation/latest/dg/lf-permissions-reference.html#perm-delete)权限。IAM 角色必须具有 `glue:UpdateTable` 权限以及对与 Data Catalog 表关联的数据位置的权限。 # 如何 AWS Glue DataBrew 与 IAM 配合使用 在使用 IAM 管理访问权限之前 DataBrew，您应该了解哪些可用的 IAM 功能 DataBrew。要全面了解如何 DataBrew 和其他 AWS 服务与 IAM 配合使用，请参阅 IAM *用户指南中的与 IAM* [配合使用的AWS 服务](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **Topics** + [DataBrew 基于身份的策略](#security_iam_service-with-iam-id-based-policies) + [中基于资源的政策 DataBrew](#security_iam_service-with-iam-resource-based-policies) + [DataBrew IAM 角色](#security_iam_service-with-iam-roles) ## DataBrew 基于身份的策略 使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源，并指定在什么条件下允许或拒绝操作。 DataBrew 支持特定操作、资源和条件键。要了解在 JSON 策略中使用的所有元素，请参阅《IAM 用户指南》** 中的 [IAM JSON 策略元素参考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 ### 操作 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说， AWS JSON 策略可以指定哪些委托人可以在什么条件下对哪些资源执行操作。 JSON 策略的 Action 元素描述您可在策略中允许或拒绝访问的操作。策略操作通常与关联的 AWS API 操作同名。有一些例外情况，例如没有匹配 API 操作的仅限权限 操作。还有一些操作需要在策略中执行多个操作。这些附加操作称为相关操作。 在策略中包含操作以授予执行关联操作的权限。 正在执行的策略操作在操作前 DataBrew 使用以下前缀:`databrew:`. 例如，要授予某人使用 Amazon EC2 `RunInstances` API 操作运行 Amazon EC2 实例的权限，您应将 `ec2:RunInstances` 操作纳入其策略。策略声明必须包含`Action`或`NotAction`元素。 DataBrew 定义了它自己的一组操作，这些操作描述了你可以用它执行的任务。 要在单个语句中指定多项 操作，请使用逗号将它们隔开，如下所示。 ``` "Action": [ "databrew:CreateRecipeJob", "databrew:UpdateSchedule" ``` 您也可以使用通配符 (\$1) 指定多个操作。例如，要指定以单词 `Describe` 开头的所有操作，请包括以下操作。 ``` "Action": "databrew:Describe*" ``` 要查看 DataBrew 操作列表，请参阅 *IAM 用户指南 AWS Glue DataBrew*中的[定义操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_databrew.html#databrew-actions-as-permissions)。 ### 资源 管理员可以使用 AWS JSON 策略来指定谁有权访问什么。也就是说，哪个**主体**可以对什么**资源**执行**操作**，以及在什么**条件**下执行。 `Resource` JSON 策略元素指定要向其应用操作的一个或多个对象。作为最佳实践，请使用其 [Amazon 资源名称（ARN）](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html)指定资源。对于不支持资源级权限的操作，请使用通配符 (\$1) 指示语句应用于所有资源。 ``` "Resource": "*" ``` 以下 DataBrew APIs 是不支持资源级别权限的： + ListDatasets + ListJobs + ListProjects + ListRecipes + ListRulesets + ListSchedules DataBrew 数据集资源具有以下亚马逊资源名称 (ARN)。 ``` arn:${Partition}:databrew:${Region}:${Account}:dataset/${Name} ``` 有关格式的更多信息 ARNs，请参阅 [Amazon 资源名称 (ARNs) 和 AWS 服务命名空间](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html)。 例如，要在语句中指定 `i-1234567890abcdef0` 实例，请使用以下 ARN。 ``` "Resource": "arn:aws:databrew:us-east-1:123456789012:dataset/my-chess-dataset" ``` 要指定属于特定账户的所有实例，请使用通配符 (\$1)。 ``` "Resource": "arn:aws:databrew:us-east-1:123456789012:dataset/*" ``` 您无法对特定资源执行某些 DataBrew 操作，例如创建资源的操作。在这些情况下，您必须使用通配符（\$1)。 ``` "Resource": "*" ``` 要查看 DataBrew 资源类型及其列表 ARNs，请参阅 *IAM 用户指南 AWS Glue DataBrew*中的[由定义的资源](https://docs.aws.amazon.com/service-authorization/latest/reference/list_databrew.html#databrew-resources-for-iam-policies)。要了解您可以在哪些操作中指定每个资源的 ARN，请参阅 [AWS Glue DataBrew定义的操作](https://docs.aws.amazon.com/service-authorization/latest/reference/list_databrew.html#databrew-actions-as-permissions)。 ### 条件键 DataBrew 不提供任何特定于服务的条件密钥，但它确实支持使用一些全局条件键。要查看所有 AWS 全局条件键，请参阅 *IAM 用户指南*中的[AWS 全局条件上下文密钥](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 ### 示例 要查看 DataBrew 基于身份的策略的示例，请参阅。[基于身份的策略示例 AWS Glue DataBrew](security_iam_id-based-policy-examples.md) ## 中基于资源的政策 DataBrew DataBrew 不支持基于资源的策略。 ## DataBrew IAM 角色 I [AM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您的 AWS 账户中具有特定权限的实体。 ### 将临时证书与 DataBrew 可以使用临时凭证进行联合身份验证登录，分派 IAM 角色或分派跨账户角色。您可以通过调用[AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html)或之类的 AWS STS API 操作来获得临时安全证书[GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html)。 DataBrew 支持使用临时证书。 ### 服务关联角色 [服务相关角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)允许 AWS 服务访问其他服务中的资源以代表您完成操作。服务关联角色显示在 IAM 账户中，并归该服务所有。管理员可以查看但不能编辑服务相关角色的权限。 ### 在中选择 IAM 角色 DataBrew 在中创建数据集资源时 DataBrew，您可以选择一个 IAM 角色来允许您进行 DataBrew 访问。如果您之前创建过服务角色或服务相关角色，则会 DataBrew 为您提供可供选择的角色列表。请务必根据需要选择允许对 Amazon S3 存储桶或 AWS Glue Data Catalog 资源进行读取权限的角色。 # 基于身份的策略示例 AWS Glue DataBrew 默认情况下，用户和角色没有创建或修改 DataBrew 资源的权限。他们也无法使用 AWS 管理控制台 AWS CLI、或执行任务 AWS APIs。管理员必须创建 IAM policy，以便为用户和角色授予权限以对所需的指定资源执行特定的 API 操作。然后，管理员必须将这些策略附加到需要这些权限的用户或组。 要了解如何使用这些示例 JSON 策略文档创建 IAM 基于身份的策略，请参阅《IAM 用户指南》**中的[在 JSON 选项卡上创建策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html#access_policies_create-json-editor)。 **Topics** + [策略最佳实践](#security_iam_service-with-iam-policy-best-practices) + [使用控制 DataBrew 台](#security_iam_id-based-policy-examples-console) + [允许用户查看他们自己的权限](#security_iam_id-based-policy-examples-view-own-permissions) + [基于标签管理 DataBrew 资源](#security_iam_id-based-policy-examples-view-widget-tags) ## 策略最佳实践 基于身份的策略决定了某人是否可以在您的账户中创建、访问或删除 DataBrew 资源。这些操作可能会使 AWS 账户产生成本。创建或编辑基于身份的策略时，请遵循以下指南和建议： + **开始使用 AWS 托管策略并转向最低权限权限** — 要开始向用户和工作负载授予权限，请使用为许多常见用例授予权限的*AWS 托管策略*。它们在你的版本中可用 AWS 账户。我们建议您通过定义针对您的用例的 AWS 客户托管策略来进一步减少权限。有关更多信息，请参阅《IAM 用户指南》**中的 [AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)或[工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 + **应用最低权限**：在使用 IAM 策略设置权限时，请仅授予执行任务所需的权限。为此，您可以定义在特定条件下可以对特定资源执行的操作，也称为*最低权限许可*。有关使用 IAM 应用权限的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的策略和权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies.html)。 + **使用 IAM 策略中的条件进一步限制访问权限**：您可以向策略添加条件来限制对操作和资源的访问。例如，您可以编写策略条件来指定必须使用 SSL 发送所有请求。如果服务操作是通过特定的方式使用的，则也可以使用条件来授予对服务操作的访问权限 AWS 服务，例如 CloudFormation。有关更多信息，请参阅《IAM 用户指南》**中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 + **使用 IAM Access Analyzer 验证您的 IAM 策略，以确保权限的安全性和功能性**：IAM Access Analyzer 会验证新策略和现有策略，以确保策略符合 IAM 策略语言（JSON）和 IAM 最佳实践。IAM Access Analyzer 提供 100 多项策略检查和可操作的建议，以帮助您制定安全且功能性强的策略。有关更多信息，请参阅《IAM 用户指南》**中的[使用 IAM Access Analyzer 验证策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access-analyzer-policy-validation.html)。 + **需要多重身份验证 (MFA**)-如果 AWS 账户您的场景需要 IAM 用户或根用户，请启用 MFA 以提高安全性。若要在调用 API 操作时需要 MFA，请将 MFA 条件添加到您的策略中。有关更多信息，请参阅《IAM 用户指南》**中的[使用 MFA 保护 API 访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)。 有关 IAM 中的最佳实操的更多信息，请参阅《IAM 用户指南》**中的 [IAM 中的安全最佳实践](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html)。 ## 使用控制 DataBrew 台 要访问 AWS Glue DataBrew 控制台，您必须拥有一组最低权限。这些权限必须使您能够列出和查看有关您 AWS 账户中 DataBrew 资源的详细信息。如果您创建的基于身份的策略比所需的最低权限更具限制性，则控制台将不会按使用该策略的用户或角色的预期运行。 为确保用户和角色可以使用 DataBrew 控制台，还要将以下 AWS 托管策略附加到实体。有关更多信息，请参阅《IAM 用户指南》**中的[为用户添加权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users_change-permissions.html#users_change_permissions-add-console)。 ``` AWSDataBrewConsoleAccess ``` 对于仅调用 AWS CLI 或 DataBrew API 的用户，您无需为其设置最低控制台权限。相反，只允许访问与您尝试执行的 API 操作相匹配的操作。 ## 允许用户查看他们自己的权限 该示例说明了如何创建策略，以支持 IAM 用户查看附加到其用户身份的内联和托管策略。此策略包括在控制台上或使用 AWS CLI 或 AWS API 以编程方式完成此操作的权限。 ``` { "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] } ``` ## 基于标签管理 DataBrew 资源 您可以使用基于身份的策略中的条件根据标签管理 DataBrew 资源，例如，删除、更新或描述资源。以下示例显示了拒绝删除项目的策略。但是，仅当项目标签*所有者*的值为 *admin* 时才会拒绝删除。此策略还授予在控制台上拒绝此操作的必要权限。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "DeleteResourceInConsole", "Effect": "Allow", "Action": "databrew:DeleteProject", "Resource": "*" }, { "Sid": "DenyDeleteProjectIfAdminTag", "Effect": "Deny", "Action": "databrew:DeleteProject", "Resource": "arn:aws:databrew:*:*:project/*", "Condition": { "StringEquals": {"aws:ResourceTag/Owner": "admin"} } } ] } ``` ------ 您可以将此策略附加到您账户中的用户。*如果名为 *richard-roe* 的用户试图删除 DataBrew 项目，则不得将该资源标记为 *owner=admin 或 owner* =admin。*否则，将拒绝该用户删除项目。条件标签键 *Owner* 匹配 *Owner* 和 *owner*，因为条件键名称不区分大小写。有关更多信息，请参阅 *IAM 用户指南* 中的 [IAM JSON 策略元素：条件](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)。 **注意** ListDatasets、 ListJobs、 ListProjects、 ListRecipes ListRulesets、和 ListSchedules 不支持基于标签的访问控制。 # AWS 的托管策略 AWS Glue DataBrew 要向用户、群组和角色添加权限，使用 AWS 托管策略比自己编写策略要容易得多。创建仅为团队提供所需权限的 [IAM 客户管理型策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html)需要时间和专业知识。要快速入门，您可以使用我们的 AWS 托管策略。这些政策涵盖常见用例，可在您的 AWS 账户中使用。有关 AWS 托管策略的更多信息，请参阅 IAM 用户指南中的[AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。 AWS 服务维护和更新 AWS 托管策略。您无法更改 AWS 托管策略中的权限。服务偶尔会向 AWS 托管策略添加其他权限以支持新功能。此类更新会影响附加策略的所有身份（用户、组和角色）。当推出新功能或有新操作可用时，服务最有可能更新 AWS 托管策略。服务不会从 AWS 托管策略中移除权限，因此策略更新不会破坏您的现有权限。 此外，还 AWS 支持跨多个服务的工作职能的托管策略。例如，*ReadOnlyAccess* AWS 托管策略提供对所有 AWS 服务和资源的只读访问权限。当服务启动新功能时， AWS 会为新操作和资源添加只读权限。有关工作职能策略的列表和说明，请参阅《IAM 用户指南》中的[适用于工作职能的AWS 托管策略](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html)。 ## DataBrew AWS 托管策略的更新 查看 DataBrew 自该服务开始跟踪这些更改以来 AWS 托管策略更新的详细信息。要获得有关此页面变更的自动提醒，请订阅 “ DataBrew 文档历史记录” 页面上的 RSS feed。可在 AWS IAM 控制台上找到托管策略，网址为[https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)。 | 更改 | 描述 | 日期 | | --- | --- | --- | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole)— 添加 AWS Glue 了的读取权限。 | 此更新添加了 `glue:GetCustomEntityType`。在启用 PII 识别的情况下执行 AWS Glue DataBrew 剖析作业需要具有此权限。 | 2024 年 3 月 20 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole)-已添加的 AWS Glue 读取权限。 | 此更新添加了 `glue:BatchGetCustomEntityTypes`。在启用 PII 识别的情况下执行 AWS Glue DataBrew 配置文件作业需要此权限。 | 2022 年 5 月 9 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)-添加了 Amazon Redshift-Data DescribeStatements 和 Ama GetLifecycleConfiguration zon S3 的读取权限。 | 此更新增加了 `redshift-data:DescribeStatement`，以支持在创建基于 Amazon Redshift 的数据集时验证您的 SQL。它还添加了 `s3:GetLifecycleConfiguration`，以评估您作为临时目录提供的 Amazon S3 存储桶前缀是否配置了生命周期。此外，此更改将 “databrew: \$1” 权限替换为包含所有权限的明确列表。 DataBrew APIs | 2022 年 2 月 4 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)-添加了 S AWS ecrets Manager 的 Read/write 权限。 | 此更新为名`secretsmanager:GetSecretValue``databrew!default`为`secretsmanager:CreateSecret`的密钥添加了一个用于 DataBrew 变换的默认密钥。此外，它还为前缀 CreateSecret 为的密钥添加了权限，`AwsGlueDataBrew-`以便从 DataBrew 控制台创建密钥。 [GenerateRandom AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateRandom.html)*API 参考*中所述，用于生成加密安全的随机字节字符串。 | 2021 年 11 月 18 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole)-添加了 S AWS ecrets Manager 的 Read/write 权限。 | 此更新为名`secretsmanager:GetSecretValue``databrew!default`为的密钥添加了一个用于 DataBrew 变换的默认密钥。 | 2021 年 11 月 18 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)-添加了 S AWS ecrets Manager 的 Read/write 权限。 | 此更新为名`secretsmanager:GetSecretValue``databrew!default`为`secretsmanager:CreateSecret`的密钥添加了一个用于 DataBrew 变换的默认密钥。此外，它还为前缀 CreateSecret 为的密钥添加了权限，`AwsGlueDataBrew-`以便从 DataBrew 控制台创建密钥。 `kms:GenerateRandom`(`https://docs.aws.amazon.com/kms/latest/APIReference/API_GenerateRandom.html`) 用于生成加密安全的随机字节字符串。 | 2021 年 11 月 18 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/service-role/AWSGlueDataBrewServiceRole)-添加了 S AWS ecrets Manager 的 Read/write 权限。 | 此更新为名`secretsmanager:GetSecretValue``databrew!default`为的密钥添加了一个用于 DataBrew 变换的默认密钥。 | 2021 年 11 月 18 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)-添加了 AWS Glue 目录数据库的读取权限和 AWS Glue 目录表的创建权限。 | 此更新增加了列出 AWS Glue 目录数据库和在现有数据库下创建新目录表的权限，这是配置 DataBrew 作业输出的一部分。 | 2021 年 6 月 30 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)-添加了 Amazon AppFlow 数据集功能的 Read/write 权限。 | 此更新增加了读取现有 Amazon AppFlow 流程和流程执行以及创建流程执行的权限。 | 2021 年 4 月 28 日 | | [https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy](https://console.aws.amazon.com/iam/home#/policies/arn:aws:iam::aws:policy/AwsGlueDataBrewFullAccessPolicy)：添加了对数据库数据集的读取权限。 | 此更新增加了读取现有 AWS Glue 连接和创建用于的新 AWS Glue 连接的权限 DataBrew。 此外，为了简化创建新连接的控制台体验，它还允许列出 Amazon VPC 资源和 Amazon Redshift 集群。它还允许列出但不能读取 AWS Secrets Manager 机密。 | 2021 年 3 月 30 日 | | DataBrew 开始跟踪更改 | DataBrew 开始跟踪其 AWS 托管策略的更改。 | 2021 年 3 月 30 日 | # 对中的身份和访问进行故障排除 AWS Glue DataBrew 使用以下信息来帮助您诊断和修复在使用 DataBrew 和 IAM 时可能遇到的常见问题。 **Topics** + [我无权在以下位置执行操作 DataBrew](#security_iam_troubleshoot-no-permissions) + [我无权执行 iam：PassRole](#security_iam_troubleshoot-passrole) + [我想允许 AWS 账户之外的人访问我的 DataBrew 资源](#security_iam_troubleshoot-cross-account-access) ## 我无权在以下位置执行操作 DataBrew 如果 AWS 管理控制台 告诉您您无权执行某项操作，请联系您的管理员寻求帮助。管理员是向您提供登录凭证的人。 当 `mateojackson` 用户尝试使用控制台查看有关项目的详细信息但不具有 `databrew:DescribeProject` 权限时，会发生以下示例错误。 ``` User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: databrew:DescribeProject on resource: my-example-project ``` 在这种情况下，Mateo 请求他的管理员更新其策略，以允许他使用 `databrew:GetProject` 操作访问 `my-example-project` 资源。 ## 我无权执行 iam：PassRole 如果您收到一个错误，表明您无权执行 `iam:PassRole` 操作，则必须更新策略以允许您将角色传递给。 DataBrew 有些 AWS 服务 允许您将现有角色传递给该服务，而不是创建新的服务角色或服务相关角色。为此，您必须具有将角色传递到服务的权限。 当名为 `marymajor` 的 IAM 用户尝试使用控制台在 DataBrew 中执行操作时，会发生以下示例错误。但是，服务必须具有服务角色所授予的权限才可执行此操作。Mary 不具有将角色传递到服务的权限。 ``` User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole ``` 在这种情况下，必须更新 Mary 的策略以允许她执行 `iam:PassRole` 操作。 如果您需要帮助，请联系您的 AWS 管理员。您的管理员是提供登录凭证的人。 ## 我想允许 AWS 账户之外的人访问我的 DataBrew 资源 您可以创建一个角色，以便其他账户中的用户或您组织外的人员可以使用该角色来访问您的资源。您可以指定谁值得信赖，可以代入角色。对于支持基于资源的策略或访问控制列表 (ACLs) 的服务，您可以使用这些策略向人们授予访问您的资源的权限。 要了解更多信息，请参阅以下内容： + 要了解是否 DataBrew 支持这些功能，请参阅[如何 AWS Glue DataBrew 与 IAM 配合使用](security_iam_service-with-iam.md)。 + 要了解如何提供对您拥有的资源的访问权限 AWS 账户 ，请参阅 [IAM 用户*指南中的向您拥有 AWS 账户 的另一个 IAM 用户*提供访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_aws-accounts.html)权限。 + 要了解如何向第三方提供对您的资源的访问[权限 AWS 账户，请参阅 *IAM 用户指南*中的向第三方提供](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_third-party.html)访问权限。 AWS 账户 + 要了解如何通过身份联合验证提供访问权限，请参阅《IAM 用户指南》**中的[为经过外部身份验证的用户（身份联合验证）提供访问权限](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_common-scenarios_federated-users.html)。 + 要了解使用角色和基于资源的策略进行跨账户访问之间的差别，请参阅《IAM 用户指南》**中的 [IAM 中的跨账户资源访问](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html)。 # 登录和监控 DataBrew 监控是维护 AWS 解决方案的可靠性、可用性和性能的重要组成部分。 DataBrew 您应该从 AWS 解决方案的所有部分收集监控数据，以便在出现多点故障时可以更轻松地进行调试。 AWS 提供了多种用于监控您的 DataBrew 资源和应对潜在事件的工具： **亚马逊 CloudWatch 警报** 使用 Amazon CloudWatch 警报，您可以监控您指定的时间段内的单个指标。如果指标超过给定阈值，则会向 Amazon SNS 主题或 AWS Auto Scaling 政策发送通知。 CloudWatch 警报不会调用操作，因为它们处于特定状态。而是必须在状态已改变并在指定的若干个时间段内保持不变后才调用。 **AWS CloudTrail 日志** CloudTrail 提供了用户、角色或 AWS 服务在中执行的操作的记录 DataBrew。使用收集的信息 CloudTrail，您可以确定向哪个请求发出 DataBrew、发出请求的 IP 地址、谁发出了请求、何时发出请求以及其他详细信息。 # 合规性验证 AWS Glue DataBrew AWS Glue DataBrew 作为多个合规计划的一部分，第三方审计师对安全性和 AWS 合规性进行评估。其中包括 SOC、PCI、FedRAMP、HIPAA 及其他。 要了解是否属于特定合规计划的范围，请参阅AWS 服务 “[按合规计划划分的范围](https://aws.amazon.com/compliance/services-in-scope/)” ”，然后选择您感兴趣的合规计划。 AWS 服务 有关一般信息，请参阅[AWS 合规计划AWS](https://aws.amazon.com/compliance/programs/)。 您可以使用下载第三方审计报告 AWS Artifact。有关更多信息，请参阅中的 “[下载报告” 中的 “ AWS Artifact](https://docs.aws.amazon.com/artifact/latest/ug/downloading-documents.html)。 您在使用 AWS 服务 时的合规责任取决于您的数据的敏感性、贵公司的合规目标以及适用的法律和法规。有关您在使用时的合规责任的更多信息 AWS 服务，请参阅[AWS 安全文档](https://docs.aws.amazon.com/security/)。 # 韧性在 AWS Glue DataBrew AWS 全球基础设施是围绕 AWS 区域和可用区构建的。 AWS 区域提供多个物理隔离和隔离的可用区，这些可用区通过低延迟、高吞吐量和高度冗余的网络相连。利用可用区，您可以设计和操作在可用区之间无中断地自动实现失效转移的应用程序和数据库。与传统的单个或多个数据中心基础设施相比，可用区具有更高的可用性、容错能力和可扩展性。 对于 AWS Glue DataBrew，我们建议您将任务配置为使用一次或多次重试。作业的重试次数是在 DataBrew 控制台的 “**高级作业设置”** 下配置的。 有关 AWS 区域和可用区的更多信息，请参阅[AWS 全球基础设施](https://aws.amazon.com/about-aws/global-infrastructure/)。 # 中的基础设施安全 AWS Glue DataBrew 作为托管服务的一部分， AWS Glue DataBrew 受《[Amazon Web Services：安全流程概述》白皮书中描述的 AWS 全球网络安全](https://d0.awsstatic.com/whitepapers/Security/AWS_Security_Whitepaper.pdf)程序保护。 您可以使用 AWS 已发布的 API 调用 DataBrew 通过网络进行访问。客户端必须支持传输层安全性协议（TLS）1.0 或更高版本。建议使用 TLS 1.2 或更高版本。客户端还必须支持具有完全向前保密（PFS）的密码套件，例如 Ephemeral Diffie-Hellman（DHE）或 Elliptic Curve Ephemeral Diffie-Hellman（ECDHE）。大多数现代系统（如 Java 7 及更高版本）都支持这些模式。 此外，必须使用访问密钥 ID 和与 IAM 主体关联的秘密访问密钥来对请求进行签名。或者，您可以使用 [AWS Security Token Service](https://docs.aws.amazon.com/STS/latest/APIReference/Welcome.html)（AWS STS）生成临时安全凭证来对请求进行签名。 **Topics** + [在您的 AWS Glue DataBrew VPC 中使用](databrew-with-vpc.md) + [AWS Glue DataBrew 与 VPC 终端节点一起使用](vpc-endpoint.md) # 在您的 AWS Glue DataBrew VPC 中使用 如果您使用 Amazon VPC 托管 AWS 资源，则可以配置 AWS Glue DataBrew 为基于亚马逊 VPC 服务的虚拟私有云 (VPC) 路由流量。 DataBrew 为此，首先在您指定的子网中配置一个 elastic network 接口。 DataBrew 然后将您指定的安全组附加到该网络接口以控制访问权限。指定的安全组必须为所有流量制定自引用入站和出站规则。此外，您的 VPC 还必须启用 DNS 主机名和解析。有关更多信息，请参阅《AWS Glue 开发人员指南》**中的[设置 VPC 以连接到 JDBC 数据存储](https://docs.aws.amazon.com/glue/latest/dg/setup-vpc-for-glue-access.html)。 对于 AWS Glue Data Catalog 数据集，VPC 信息是在您在数据目录中创建 AWS Glue 连接时配置的。要为此连接创建数据目录表，请从 AWS Glue 控制台运行 Crawler。有关更多信息，请参阅《AWS Glue 开发人员指南》**中的[填充 AWS Glue Data Catalog](https://docs.aws.amazon.com/glue/latest/dg/populate-data-catalog.html)。 对于数据库数据集，请在从 DataBrew 控制台创建连接时指定您的 VPC 信息。 要 AWS Glue DataBrew 与没有 [NAT](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat.html) 的 VPC 子网配合使用，您必须有一个连接到 Amazon S3 的网关 VPC 终端节点和用于 AWS Glue 接口的 VPC 终端节点。有关更多信息，请参阅 Amazon VPC 文档中的[创建网关端点](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-gateway.html#create-gateway-endpoint)和[接口 VPC 端点（AWS PrivateLink）](https://docs.aws.amazon.com/vpc/latest/privatelink/vpce-interface.html)。由配置的弹性接口 DataBrew 没有公有 IPv4 地址，因此它不支持使用 VPC Internet Gateway。 目前不支持 Amazon S3 接口端点。如果您使用 AWS Secrets Manager 存储密钥，则需要一条通往 Secrets Manager 的路径。如果您使用的是加密，则需要一个到 AWS Key Management Service (AWS KMS) 的路由。 # AWS Glue DataBrew 与 VPC 终端节点一起使用 如果您使用 Amazon VPC 托管 AWS 资源，则可以通过预置 VPC 终端节点在您 DataBrew 的 VPC 之间建立私有连接。使用此 VPC 终端节点，您可以进行 DataBrew API 调用。 您的 DataBrew VPC 无需使用 DataBrew VPC 终端节点。有关更多信息，请参阅 [在您的 AWS Glue DataBrew VPC 中使用](databrew-with-vpc.md)。 您可以在所有 AWS 区域中同时支持两者的 VPC 终端节点 AWS Glue 和 VPC 终端节点 AWS Glue 一起使用。 有关更多信息，请参阅《Amazon VPC 用户指南》**中的以下主题： + [什么是 Amazon VPC？](https://docs.aws.amazon.com/vpc/latest/userguide/what-is-amazon-vpc.html) + [创建接口端点](https://docs.aws.amazon.com/vpc/latest/userguide/vpce-interface.html#create-interface-endpoint) # 中的配置和漏洞分析 AWS Glue DataBrew 配置和 IT 控制由您（我们的客户）共同 AWS 负责。有关更多信息，请参阅[责任 AWS 共担模型](https://aws.amazon.com/compliance/shared-responsibility-model/)。