本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
# 先決條件
在 AWS 您的帳戶可以與另一個帳戶或另一個帳戶中的委託人共用 Data Catalog 資源 （目錄、資料庫和資料表） 之前，以及在您可以存取與帳戶共用的資源之前，必須符合下列先決條件。
**一般跨帳戶資料共用需求**
+ 若要在混合存取模式中共用 Data Catalog 資料庫和資料表，並在聯合目錄中共用物件，您需要將**跨帳戶版本設定**更新為第 **4 版**。
+ 在授予 Data Catalog 資源的跨帳戶許可之前，您必須撤銷資源`IAMAllowedPrincipals`群組中的所有 Lake Formation 許可。如果呼叫委託人具有跨帳戶存取資源的許可，且該`IAMAllowedPrincipals`許可存在於資源上，則 Lake Formation 會擲出 `AccessDeniedException`。
此要求僅適用於在 Lake Formation 模式中註冊基礎資料位置時。如果您以混合模式註冊資料位置，`IAMAllowedPrincipals`群組許可可以存在於共用資料庫或資料表上。
+ 對於包含您要共用之資料表的資料庫，您必須防止新資料表預設授與 `Super`給 `IAMAllowedPrincipals`。在 Lake Formation 主控台上，編輯資料庫並關閉**僅針對此資料庫中的新資料表使用 IAM 存取控制**，或輸入下列 AWS CLI 命令，`database`將 取代為資料庫的名稱。如果基礎資料位置是在混合存取模式中註冊，您不需要變更此預設設定。在混合存取模式中，Lake Formation 可讓您在相同的資源 AWS Glue 上選擇性地強制執行 Amazon S3 和 的 Lake Formation 許可和 IAM 許可政策。
```
aws glue update-database --name database --database-input '{"Name":"database","CreateTableDefaultPermissions":[]}'
```
+ 若要授予跨帳戶許可，授予者必須擁有 AWS Glue和 AWS RAM 服務所需的 AWS Identity and Access Management (IAM) 許可。 AWS 受管政策會`AWSLakeFormationCrossAccountManager`授予必要的許可。
使用 接收資源共享之帳戶中的資料湖管理員 AWS RAM 必須具有下列其他政策。它允許管理員接受 AWS RAM 資源共用邀請。它還允許管理員啟用與組織共用資源。
------
#### [ JSON ]
****
```
{
"Version":"2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:AcceptResourceShareInvitation",
"ram:RejectResourceShareInvitation",
"ec2:DescribeAvailabilityZones",
"ram:EnableSharingWithAwsOrganization"
],
"Resource": "*"
}
]
}
```
------
+ 如果您想要與 AWS Organizations 或組織單位共用 Data Catalog 資源，則必須在其中啟用與組織共用 AWS RAM。
如需有關如何啟用與組織共用的資訊，請參閱*AWS RAM 《 使用者指南*》中的[啟用與 AWS 組織共用](https://docs.aws.amazon.com/ram/latest/userguide/getting-started-sharing.html#getting-started-sharing-orgs)。
您必須擁有`ram:EnableSharingWithAwsOrganization`許可，才能與組織共用。
+ 若要直接與另一個帳戶中的 IAM 主體共用資源，您需要將**跨帳戶版本設定**更新為第 **3 版**。此設定可在**資料目錄設定**頁面上取得。如果您使用的是**第 1 版**，請參閱更新設定 的說明[更新跨帳戶資料共用版本設定](optimize-ram.md)。
+ 您無法與另一個帳戶共用使用 AWS Glue 服務受管金鑰加密的 Data Catalog 資源。您只能共用使用客戶加密金鑰加密的 Data Catalog 資源，而且接收資源共用的帳戶必須具有 Data Catalog 加密金鑰的許可，才能解密物件。
**使用 LF-TBAC 需求的跨帳戶資料共用**
+ 若要與 AWS Organizations 和組織單位 (OUs) 共用 Data Catalog 資源，您需要將**跨帳戶版本設定**更新為以上第 **3 版**。
+ 若要與**跨帳戶版本設定**第 3 版共用 Data Catalog 資源，授予者需要擁有`AWSLakeFormationCrossAccountManager`您帳戶中 AWS 受管政策中定義的 IAM 許可。
+ 如果您使用的是**跨帳戶版本設定的第 1 版或第 2 版**，您必須擁有啟用 LF-TBAC 的資料目錄資源政策 (`glue:PutResourcePolicy`)。如需詳細資訊，請參閱[使用 AWS Glue和 Lake Formation 管理跨帳戶許可](hybrid-cross-account.md)。
+ 如果您目前正在使用 AWS Glue Data Catalog 資源政策來共用資源，而且想要使用跨帳戶**版本設定的版本 3 授予跨帳戶**許可，則必須使用 `glue:PutResourcePolicy` API 操作在資料目錄設定中新增`glue:ShareResource`許可，如 [使用 AWS Glue和 Lake Formation 管理跨帳戶許可](hybrid-cross-account.md)一節所示。如果您的帳戶未使用 AWS Glue Data Catalog 資源政策 （第 1 版和第 2 版使用`glue:PutResourcePolicy`許可） 授予跨帳戶存取權，則不需要此政策。
```
{
"Effect": "Allow",
"Action": [
"glue:ShareResource"
],
"Principal": {"Service": [
"ram.amazonaws.com"
]},
"Resource": [
"arn:aws:glue:::table/*/*",
"arn:aws:glue:::database/*",
"arn:aws:glue:::catalog"
]
}
```
+ 如果您的帳戶已使用 AWS Glue Data Catalog 資源政策進行跨帳戶共用，且您目前使用具名資源方法或 LF-TBAC 搭配**跨帳戶設定**第 3 版來共用資源，則當您叫用 `glue:PutResourcePolicy` API 操作`'true'`時 AWS RAM ，必須將 `EnableHybrid`引數設定為 。如需詳細資訊，請參閱[使用 AWS Glue和 Lake Formation 管理跨帳戶許可](hybrid-cross-account.md)。
**存取共用資源的每個帳戶中所需的設定**
+ 如果您要與 共用資源 AWS 帳戶，則取用者帳戶中至少有一個使用者必須是資料湖管理員，才能檢視共用資源。如需如何建立資料湖管理員的資訊，請參閱 [建立資料湖管理員](initial-lf-config.md#create-data-lake-admin)。
資料湖管理員可以將共用資源的 Lake Formation 許可授予帳戶中的其他主體。在資料湖管理員授予資源許可之前，其他主體無法存取共用資源。
+ Athena 和 Redshift Spectrum 等整合服務需要資源連結，才能在查詢中包含共用資源。委託人需要在其 Data Catalog 中建立資源連結，以從另一個 共用資源 AWS 帳戶。如需資源連結的詳細資訊，請參閱 [資源連結在 Lake Formation 中如何運作](resource-links-about.md)。
+ 當資源直接與 IAM 主體共用時，若要使用 Athena 查詢資料表，主體需要建立資源連結。若要建立資源連結，委託人需要 Lake Formation `CREATE_TABLE`或 `CREATE_DATABASE` 許可，以及 `glue:CreateTable`或 IAM `glue:CreateDatabase` 許可。
如果生產者帳戶在相同資料庫中與相同或另一個委託人共用不同的資料表，則該委託人可以立即查詢資料表。
**注意**
對於資料湖管理員和資料湖管理員已授予許可的主體，共用資源會顯示在資料目錄中，就像是本機 （擁有） 資源一樣。擷取、轉換和載入 (ETL) 任務可以存取共用資源的基礎資料。
對於共用資源，Lake Formation 主控台上的**資料表**和**資料庫**頁面會顯示擁有者的帳戶 ID。
存取共用資源的基礎資料時，CloudTrail 日誌事件會在共用資源收件人的 帳戶和資源擁有者的 帳戶中產生。CloudTrail 事件可以包含存取資料的主體 ARN，但前提是收件人帳戶選擇在日誌中包含主體 ARN。如需詳細資訊，請參閱[跨帳戶 CloudTrail 記錄](cross-account-logging.md)。