如何在AWS Data Zone中添加AWS RDS SQL Server实例作为数据源

由于当前AWS Data Zone仅支持Redshift和S3蓝图，无法直接创建RDS专属蓝图，可通过AWS Glue数据目录中转的方式实现RDS元数据的导入与权限管理，具体步骤如下：

1. 在账户A中配置Glue爬虫抓取RDS元数据 #

• 创建AWS Glue爬虫，选择JDBC数据源类型，配置RDS SQL Server的连接信息（包括端点、端口、数据库名称、认证方式）
• 确保Glue爬虫所在的VPC与RDS实例的VPC连通，或通过VPC端点访问；同时调整RDS安全组规则，允许Glue爬虫的IP/安全组访问SQL Server端口（默认1433）
• 运行爬虫，将RDS中的数据库、表、列等元数据同步到账户A的Glue数据目录中

2. 配置跨账户权限，让Data Zone可访问Glue数据目录 #

• 在账户A的Glue数据目录中，添加账户B的Data Zone服务角色为授权主体，授予glue:GetDatabase、glue:GetTable、glue:GetPartition等元数据读取权限
• 在账户A的IAM中，创建信任策略，允许账户B的Data Zone服务主体（datazone.amazonaws.com）访问相关资源；同时确保账户B的Data Zone角色具备访问账户A Glue数据目录的权限

3. 在账户B的Data Zone中关联并导入Glue元数据 #

• 进入Data Zone的域设置，添加AWS Glue数据目录作为外部数据源（此操作无需依赖蓝图）
• 在目标项目中选择「导入数据源」，选择已关联的账户A的Glue数据目录，筛选出RDS对应的数据库/表进行导入
• 导入完成后，RDS的元数据会进入Data Zone的统一目录，可在项目中查看元数据详情

4. 配置Data Zone权限管理 #

• 在Data Zone项目内，针对导入的RDS元数据对象（数据库/表），为指定用户或用户组分配权限，包括元数据查看、编辑，以及数据访问权限
• 若需实现数据级访问控制，可通过Data Zone的权限策略联动账户A的IAM角色，让授权用户临时获取访问RDS实例的权限，确保数据访问的安全性

注意事项 #

• 定期运行Glue爬虫，保持RDS元数据与Glue数据目录的同步
• 确保跨账户网络连通性，必要时配置VPC peering或中转网关
• 验证权限配置，避免出现元数据无法读取或数据访问失败的情况

内容的提问来源于stack exchange，提问作者qvt