如何在AWS Quicksight中为创作者实现分析页面行级安全

可以实现，但无法直接依赖QuickSight默认的行级安全（RLS）功能（默认RLS仅作用于已发布仪表板的查看者），可通过以下几种方式达成需求：

方法一：基于Athena的动态行过滤 #

• 借助Athena的身份变量与查询逻辑，在数据源层面实现行级限制
• 具体操作：
  1. 提前创建用户-部门映射表，存储创作者的QuickSight用户名（或IAM身份）与对应部门的关联关系
  2. 在Athena的数据源查询中加入动态过滤逻辑，示例SQL：

     SELECT * FROM your_target_table
     WHERE department = (SELECT department FROM user_dept_map WHERE quicksight_username = CURRENT_USER())
     

  3. 将该带过滤逻辑的查询作为QuickSight的数据集，创作者访问分析页面时，Athena会自动返回其对应部门的数据行

方法二：使用QuickSight自定义SQL数据集 #

• 在创建QuickSight数据集时采用自定义SQL，结合QuickSight内置的CURRENT_USER()函数实现数据过滤
• 示例SQL：

  SELECT t.id, t.department, t.Names
  FROM your_athena_table t
  JOIN user_dept_mapping m ON t.department = m.department
  WHERE m.quicksight_username = CURRENT_USER()
  

  其中user_dept_mapping为预创建的映射表，存储每个创作者对应的部门信息

方法三：通过IAM权限控制S3数据访问 #

• 如果S3中的Parquet文件按部门分目录存储（如s3://your-bucket/sales/、s3://your-bucket/marketing/），可通过IAM策略限制创作者仅能访问对应部门的S3目录
• 示例IAM策略片段：

  {
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::your-bucket/${aws:username}/*"
  }
  

  这种方式下，Athena查询时仅能读取创作者有权限的目录数据，QuickSight分析页面自然只能展示对应部门的行数据

需注意：以上方法均需提前维护好用户与部门的映射关系，确保权限逻辑的准确性。

内容的提问来源于stack exchange，提问作者RCode