授予對第三方 lambda 函數的訪問權限以寫入我的 Redshift

Question

我有這家第三方公司開發了一個解決方案，目前正在使用 lambda 函數 X pe 在他們的帳戶托管的 Redshift 中寫入一些數據，我現在需要的是授予對該 lambda 函數 X 的訪問權限，以寫入我帳戶擁有的 redshift .

我們怎樣才能解決這個問題？

根據我之前的搜索，我認為涉及 IAM 角色，但我不確定。

提前致謝

Answer 1

最簡單的方法是生成第三方可以使用的數據庫用戶登錄：

• 使用CREATE USER命令創建一個新的數據庫用戶，並指定密碼
• 使用GRANT和REVOKE為新用戶分配最低級別的必要權限（例如只能更新特定表，不能查詢任何其他表）
• 向第三方提供在其 Lambda 函數中使用的用戶名和密碼
• 在 Redshift 集群上配置安全組，以允許訪問第三方運行其 Lambda 函數的區域中使用的 Lambda 地址范圍——這並不完美，因為它仍然使安全組容易受到各種攻擊, 但總比讓它公開訪問要好

但是，從安全的角度來看，允許任何外部方直接訪問您的數據庫並不是一個好主意。 可能會訪問可能以這種方式泄露的機密或個人身份信息。 比上述架構更安全的架構是第三方將數據發送到您的系統進行處理，而不是直接訪問您的數據庫。

一些例子：

• 第三方可以將文件上傳到您的 Amazon S3 存儲桶，然后它可以在您自己的帳戶中觸發 Lambda 函數以將數據加載到 Redshift，或者
• 數據可以發送到Amazon Kinesis 流（適合連續數據加載）或Amazon SQS ，然后您自己帳戶中的 Lambda 函數可以將該數據加載到 Redshift，或者
• 使用API 網關創建一個接口，第三方可以通過該接口發送他們的數據，然后會在您自己的帳戶中觸發 Lambda 函數以將該數據加載到 Redshift