Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Servicerolle für EMR Notebooks
Jedes EMR Notizbuch benötigt Berechtigungen, um auf andere AWS Ressourcen zuzugreifen und Aktionen auszuführen. Die mit dieser Servicerolle verknüpften IAM Richtlinien gewähren dem Notebook Berechtigungen für die Zusammenarbeit mit anderen AWS Diensten. Wenn Sie mit dem ein Notizbuch erstellen AWS Management Console, geben Sie eine AWS Servicerolle an. Sie können die Standardrolle, EMR_Notebooks_DefaultRole, verwenden oder eine Rolle angeben, die Sie erstellen. Wenn ein Notebook nicht vorher erstellt wurde, haben Sie die Möglichkeit, die Standardrolle zu erstellen.
-
Der Standardrollenname ist
EMR_Notebooks_DefaultRole. -
Die standardmäßig angehängten verwalteten Richtlinien zu
EMR_Notebooks_DefaultRolesindAmazonElasticMapReduceEditorsRoleundS3FullAccessPolicy.
Ihre Servicerolle sollte die folgende Vertrauensrichtlinie verwenden.
Wichtig
Die folgende Vertrauensrichtlinie umfasst die Schlüssel aws:SourceArnund die aws:SourceAccountglobalen Bedingungsschlüssel, die die Berechtigungen einschränken, die Sie Amazon EMR für bestimmte Ressourcen in Ihrem Konto gewähren. Auf diese Weise können Sie sich vor dem Problem des verwirrten Stellvertreters schützen.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "elasticmapreduce.amazonaws.com" }, "Action": "sts:AssumeRole", "Condition": { "StringEquals": { "aws:SourceAccount": "<account-id>" }, "ArnLike": { "aws:SourceArn": "arn:aws:elasticmapreduce:<region>:<account-id>:*" } } } ] }
Der Inhalt von Version 1 von AmazonElasticMapReduceEditorsRole lautet wie folgt.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:AuthorizeSecurityGroupEgress", "ec2:AuthorizeSecurityGroupIngress", "ec2:CreateSecurityGroup", "ec2:DescribeSecurityGroups", "ec2:RevokeSecurityGroupEgress", "ec2:CreateNetworkInterface", "ec2:CreateNetworkInterfacePermission", "ec2:DeleteNetworkInterface", "ec2:DeleteNetworkInterfacePermission", "ec2:DescribeNetworkInterfaces", "ec2:ModifyNetworkInterfaceAttribute", "ec2:DescribeTags", "ec2:DescribeInstances", "ec2:DescribeSubnets", "ec2:DescribeVpcs", "elasticmapreduce:ListInstances", "elasticmapreduce:DescribeCluster", "elasticmapreduce:ListSteps" ], "Resource": "*" }, { "Effect": "Allow", "Action": "ec2:CreateTags", "Resource": "arn:aws:ec2:*:*:network-interface/*", "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": [ "aws:elasticmapreduce:editor-id", "aws:elasticmapreduce:job-flow-id" ] } } } ] }
Im Folgenden sehen Sie den Inhalt von S3FullAccessPolicy. S3FullAccessPolicyDadurch kann Ihre Servicerolle für EMR Notebooks alle Amazon S3 S3-Aktionen an Objekten in Ihrem ausführen AWS-Konto. Wenn Sie eine benutzerdefinierte Servicerolle für EMR Notebooks erstellen, müssen Sie Ihrer Servicerolle Amazon S3 S3-Berechtigungen erteilen.
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "s3:*", "Resource": "*" } ] }
Sie können den Lese- und Schreibzugriff für Ihre Servicerolle auf den Amazon-S3-Standort beschränken, an dem Sie Ihre Notebookdateien speichern möchten. Verwenden Sie die folgenden Mindestberechtigungen an Amazon S3.
"s3:PutObject", "s3:GetObject", "s3:GetEncryptionConfiguration", "s3:ListBucket", "s3:DeleteObject"
Wenn Ihr Amazon-S3-Bucket verschlüsselt ist, müssen Sie die folgenden Berechtigungen für AWS Key Management Service angeben.
"kms:Decrypt", "kms:GenerateDataKey", "kms:ReEncryptFrom", "kms:ReEncryptTo", "kms:DescribeKey"
Wenn Sie Git-Repositorys mit Ihrem Notebook verknüpfen und ein Geheimnis für das Repository erstellen müssen, müssen Sie die secretsmanager:GetSecretValue Berechtigung in der IAM Richtlinie hinzufügen, die der Servicerolle für EMR Amazon-Notebooks beigefügt ist. Eine Beispielrichtlinie wird nachfolgend gezeigt:
{ "Version": "2012-10-17", "Statement": [ { "Sid": "VisualEditor0", "Effect": "Allow", "Action": "secretsmanager:GetSecretValue", "Resource": "*" } ] }
EMRBerechtigungen für die Servicerolle Notebooks
In dieser Tabelle sind die Aktionen aufgeführt, die EMR Notebooks mithilfe der Servicerolle durchführt, sowie die Berechtigungen, die für jede Aktion erforderlich sind.
| Aktion | Berechtigungen |
|---|---|
| Richten Sie einen sicheren Netzwerkkanal zwischen einem Notebook und einem EMR Amazon-Cluster ein und führen Sie die erforderlichen Bereinigungsaktionen durch. |
|
| Verwenden Sie die in gespeicherten Git-Anmeldeinformationen AWS Secrets Manager , um Git-Repositorys mit einem Notizbuch zu verknüpfen. |
|
| Wenden Sie AWS Tags auf die Netzwerkschnittstelle und die Standardsicherheitsgruppen an, die EMR Notebooks bei der Einrichtung des sicheren Netzwerkkanals erstellt. Weitere Informationen finden Sie unter Markieren von AWS -Ressourcen. |
|
| Greifen Sie auf Notebook-Dateien und Metadaten zu oder laden Sie sie in Amazon S3 hoch. |
Wenn Sie einen verschlüsselten Amazon-S3-Bucket verwenden, sind die folgenden Berechtigungen erforderlich.
|
EMRNotebooks aktualisiert AWS verwaltete Richtlinien
Hier finden Sie Informationen zu Aktualisierungen der AWS verwalteten Richtlinien für EMR Notebooks seit dem 1. März 2021.
| Änderung | Beschreibung | Datum |
|---|---|---|
AmazonElasticMapReduceEditorsRole - Added
permissions |
EMRHinzugefügte Notizbücher |
8. Februar 2023 |
EMRNotizbücher haben begonnen, Änderungen nachzuverfolgen |
EMRNotebooks begann, Änderungen für seine AWS verwalteten Richtlinien nachzuverfolgen. |
8. Februar 2023 |
