如何为单个角色授予AWS Lake Formation中所有数据库的权限？

当然可以实现批量授权，以下是几种实用方案：

方法1：AWS CLI 循环执行 #

通过CLI结合循环命令，先列出所有数据库，再批量授予权限：

1. 先获取所有Lake Formation数据库的ARN列表：

aws lakeformation list-resources --resource-type "DATABASE" --query 'ResourceInfoList[*].ResourceArn' --output text

2. 循环为每个数据库授予权限（替换示例中的账号ID、角色ARN和权限）：

# 替换为你的AWS账号ID
ACCOUNT_ID="123456789012"
# 替换为要授权的主体ARN（IAM角色/用户）
PRINCIPAL_ARN="arn:aws:iam::123456789012:role/MyLakeFormationRole"
# 替换为需要的权限，比如SELECT、ALTER、DROP等
PERMISSIONS="SELECT"

for db_arn in $(aws lakeformation list-resources --resource-type "DATABASE" --query 'ResourceInfoList[*].ResourceArn' --output text); do
  DB_NAME=$(echo $db_arn | cut -d'/' -f3)
  aws lakeformation grant-permissions \
    --principal DataLakePrincipalIdentifier=$PRINCIPAL_ARN \
    --resource '{ "Database": { "CatalogId": "'$ACCOUNT_ID'", "Name": "'$DB_NAME'" } }' \
    --permissions $PERMISSIONS
done

方法2：Python Boto3 脚本 #

适合需要更复杂逻辑（比如过滤特定数据库）的场景：

import boto3

# 初始化Lake Formation客户端
lf_client = boto3.client('lakeformation')

# 配置参数
account_id = "123456789012"
principal_arn = "arn:aws:iam::123456789012:role/MyLakeFormationRole"
target_permissions = ["SELECT", "ALTER"]

# 获取所有数据库资源
response = lf_client.list_resources(ResourceType='DATABASE')
db_resources = response['ResourceInfoList']

# 批量授权
for db in db_resources:
    db_name = db['ResourceArn'].split('/')[2]
    try:
        lf_client.grant_permissions(
            Principal={'DataLakePrincipalIdentifier': principal_arn},
            Resource={
                'Database': {
                    'CatalogId': account_id,
                    'Name': db_name
                }
            },
            Permissions=target_permissions
        )
        print(f"已为数据库 {db_name} 授予权限")
    except Exception as e:
        print(f"授权数据库 {db_name} 失败：{str(e)}")

方法3：Lake Formation 标签（长期高效方案） #

如果后续需要新增数据库自动继承权限，推荐使用标签管理：

1. 批量为现有数据库打标签：

ACCOUNT_ID="123456789012"

for db_arn in $(aws lakeformation list-resources --resource-type "DATABASE" --query 'ResourceInfoList[*].ResourceArn' --output text); do
  DB_NAME=$(echo $db_arn | cut -d'/' -f3)
  aws lakeformation add-lf-tags-to-resource \
    --resource '{ "Database": { "CatalogId": "'$ACCOUNT_ID'", "Name": "'$DB_NAME'" } }' \
    --lf-tags Key=Environment,Value=Production
done

2. 为标签授予权限，所有带该标签的数据库自动获得权限：

aws lakeformation grant-permissions \
  --principal DataLakePrincipalIdentifier=arn:aws:iam::123456789012:role/MyLakeFormationRole \
  --resource '{ "LFTag": { "CatalogId": "123456789012", "TagKey": "Environment", "TagValues": ["Production"] } }' \
  --permissions "SELECT" "ALTER"

注意事项 #

• 执行操作的身份必须拥有GrantPermissions、ListResources等Lake Formation权限
• 权限列表需根据实际需求选择，参考AWS官方支持的Lake Formation权限范围
• 批量操作前建议先针对单个数据库测试授权逻辑，避免批量错误

内容的提问来源于stack exchange，提问作者plazmakeks