IAMRollen für EMRFS Anfragen an Amazon S3 konfigurieren

Um die Vertrauensrichtlinie einer Rolle zu aktualisieren IAM

Öffnen Sie die IAM Konsole unter https://console.aws.amazon.com/iam/.

1. Wählen Sie Roles (Rollen), geben Sie den Namen der Rolle unter Search (Suche) ein und wählen Sie dann Role name (Rollenname) aus.

2. Wählen Sie auf der Registerkarte Trust Relationships (Vertrauensbeziehungen) Edit Trust Relationship (Vertrauensbeziehung bearbeiten) aus.

3. Fügen Sie eine Vertrauensanweisung gemäß dem Richtliniendokument und den Richtlinien oben hinzu und wählen Sie dann Vertrauensrichtlinie updaten.

So geben Sie IAM Rollen für EMRFS Anfragen an Amazon S3 mithilfe der Konsole an

1. Erstellen Sie eine Sicherheitskonfiguration, die Rollenzuordnungen spezifiziert:

   1. Wählen Sie in der EMR Amazon-Konsole Sicherheitskonfigurationen, Erstellen aus.

   2. Geben Sie in Name (Name) einen Namen für die Sicherheitskonfiguration ein. Verwenden Sie diesen Namen zum Angeben der Sicherheitskonfiguration, wenn Sie einen Cluster erstellen.

   3. Wählen Sie IAM Rollen für EMRFS Anfragen an Amazon S3 verwenden.

   4. Wählen Sie eine IAMRolle aus, die Sie beantragen möchten, und wählen Sie unter Basis für den Zugriff einen Identifikationstyp (Benutzer, Gruppen oder S3-Präfixe) aus der Liste aus und geben Sie die entsprechenden Kennungen ein. Wenn Sie mehrere Kennungen verwenden, trennen Sie diese durch Komma (ohne Leerzeichen dazwischen) voneinander ab. Weitere Informationen zu den einzelnen ID-Typen finden Sie unten in der JSON configuration reference.

   5. Wählen Sie Add role (Rolle hinzufügen) aus, um zusätzliche Rollenzuordnungen einzurichten wie im vorherigen Schritt beschrieben.

   6. Richten Sie weitere Sicherheitskonfigurationsoptionen ein wie erforderlich. Wählen Sie Create (Erstellen) aus. Weitere Informationen finden Sie unter Eine Sicherheitskonfiguration erstellen.

2. Geben Sie die Sicherheitskonfiguration an, die Sie oben erstellt haben, wenn Sie einen Cluster erstellen. Weitere Informationen finden Sie unter Angabe einer Sicherheitskonfiguration für einen Cluster.

Um IAM Rollen für EMRFS Anfragen an Amazon S3 anzugeben, verwenden Sie den AWS CLI

1. Verwenden Sie den aws emr create-security-configuration Befehl und geben Sie einen Namen für die Sicherheitskonfiguration und die Sicherheitskonfigurationsdetails im JSON Format an.

   Der unten gezeigte Beispielbefehl erstellt eine Sicherheitskonfiguration namens EMRFS_Roles_Security_Configuration. Er basiert auf einer JSON Struktur in der DateiMyEmrfsSecConfig.json, die in demselben Verzeichnis gespeichert ist, in dem der Befehl ausgeführt wird.

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   Verwenden Sie die folgenden Richtlinien für die Struktur der Datei MyEmrFsSecConfig.json. Sie können diese Struktur zusammen mit Strukturen für andere Sicherheitskonfigurationsoptionen angeben. Weitere Informationen finden Sie unter Eine Sicherheitskonfiguration erstellen.

   Im Folgenden finden Sie einen JSON Beispielausschnitt für die Angabe benutzerdefinierter IAM Rollen EMRFS innerhalb einer Sicherheitskonfiguration. Es zeigt Rollenzuordnungen für die drei verschiedenen Identifier-Typen, gefolgt von einer Parameterreferenz.

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   Parameter	Beschreibung
   "AuthorizationConfiguration":	Erforderlich
   "EmrFsConfiguration":	Erforderlich Enthält Rollenzuordnungen.
   "RoleMappings":	Erforderlich Enthält eine oder mehrere Rollenzuordnungsdefinitionen. Rollenzuordnungen werden in der Reihenfolge bewertet, in der sie von oben nach unten angezeigt werden. Wenn eine Rollenzuweisung für einen EMRFS Datenaufruf in Amazon S3 als wahr bewertet wird, werden keine weiteren Rollenzuordnungen ausgewertet und die angegebene IAM Rolle wird für die Anfrage EMRFS verwendet. Rollenzuordnungen bestehen aus den folgenden erforderlichen Parametern:
   "Role":	Gibt den ARN Bezeichner einer IAM Rolle im Format an. arn:aws:iam::account-id:role/role-name Dies ist die IAM Rolle, die Amazon EMR übernimmt, wenn die EMRFS Anfrage an Amazon S3 mit einer der Identifiers angegebenen Anforderungen übereinstimmt.
   "IdentifierType":	Kann einer der folgenden sein: "User" gibt an, dass es sich bei den Kennungen um einen oder mehrere Hadoop-Benutzer handelt, bei denen es sich um Linux-Kontobenutzer oder Kerberos-Prinzipale handeln kann. Wenn die EMRFS Anfrage von dem oder den angegebenen Benutzern stammt, wird die IAM Rolle übernommen. "Prefix" gibt an, dass der Identifier ein Amazon-S3-Speicherort ist. Die IAM Rolle wird für Anrufe an den Standort oder die Standorte mit den angegebenen Präfixen übernommen. Das Präfix s3://mybucket/ entspricht beispielsweise s3://mybucket/mydir und s3://mybucket/yetanotherdir. "Group" gibt an, dass es sich bei den Identifikatoren um eine oder mehrere Hadoop-Gruppen handelt. Die IAM Rolle wird übernommen, wenn die Anfrage von einem Benutzer in der oder den angegebenen Gruppen stammt.
   "Identifiers":	Gibt einen oder mehrere Kennungen des entsprechenden Kennungstyps an. Trennen Sie mehrere Bezeichner durch Kommas ohne Leerzeichen.

2. Verwenden Sie den Befehl aws emr create-cluster, um einen Cluster einzurichten, und geben Sie die Sicherheitskonfiguration an, die Sie im vorherigen Schritt erstellt haben.

   Im folgenden Beispiel wird ein Cluster erstellt, bei dem Standard-Core-Hadoop-Anwendungen installiert sind. Der Cluster verwendet die oben erstellte Sicherheitskonfiguration als EMRFS_Roles_Security_Configuration und verwendet auch eine benutzerdefinierte EMR Amazon-Rolle für EC2EC2_Role_EMR_Restrict_S3,, die mit dem InstanceProfile Argument des --ec2-attributes Parameters angegeben wird.

   Anmerkung

   Linux-Zeilenfortsetzungszeichen (\) sind aus Gründen der Lesbarkeit enthalten. Sie können entfernt oder in Linux-Befehlen verwendet werden. Entfernen Sie sie unter Windows oder ersetzen Sie sie durch ein Caret-Zeichen (^).

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.2.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration