EMRStudio-Benutzer zuweisen und verwalten

Wenn Sie es verwendenIAMAuthentifizierungsmodus für Amazon EMR Studio einrichten, müssen Sie die CreateStudioPresignedUrl Aktion in der IAM Berechtigungsrichtlinie eines Benutzers zulassen und den Benutzer auf ein bestimmtes Studio beschränken. Sie können CreateStudioPresignedUrl in Ihre eigene Benutzerberechtigungen für den IAM-Authentifizierungsmodus aufnehmen oder eine separate Richtlinie verwenden.

Um einen Benutzer auf ein Studio (oder eine Gruppe von Studios) zu beschränken, können Sie die attributebasierte Zugriffskontrolle (ABAC) verwenden oder den Amazon-Ressourcennamen (ARN) eines Studios im Resource Element der Berechtigungsrichtlinie angeben.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

Wenn Sie einem EMR Studio einen Benutzer oder eine Gruppe zuweisen, geben Sie eine Sitzungsrichtlinie an, die detaillierte Berechtigungen für diesen Benutzer oder diese Gruppe definiert, z. B. die Möglichkeit, einen neuen EMR Cluster zu erstellen. Amazon EMR speichert diese Zuordnungen von Sitzungsrichtlinien. Sie können die Sitzungsrichtlinie eines Benutzers oder einer Gruppe nach der Zuweisung aktualisieren.

Um einem EMR Studio einen Benutzer oder eine Gruppe zuzuweisen, verwenden Sie AWS CLI

Fügen Sie Ihre eigenen Werte für die folgenden create-studio-session-mapping-Argumente ein. Weitere Informationen über den Befehl create-studio-session-mapping finden Sie unter AWS CLI -Befehlsreferenz.

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

Verwenden Sie den get-studio-session-mapping-Befehl, um die neue Zuweisung zu überprüfen. Ersetzen <example-identity-name> mit dem IAM Identity Center-Namen des Benutzers oder der Gruppe, den Sie aktualisiert haben.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Um Benutzer- oder Gruppenberechtigungen zu aktualisieren, wenn Sie den IAM Authentifizierungsmodus verwendenIAM, können Sie die IAM Berechtigungsrichtlinien ändern, die Ihren IAM Identitäten (Benutzern, Gruppen oder Rollen) zugeordnet sind.

Weitere Informationen finden Sie unter Benutzerberechtigungen für den IAM-Authentifizierungsmodus.

Um die EMR Studio-Berechtigungen für einen Benutzer oder eine Gruppe mit dem zu aktualisieren AWS CLI

Fügen Sie Ihre eigenen Werte für die folgenden update-studio-session-mappings-Argumente ein. Weitere Informationen über den Befehl update-studio-session-mappings finden Sie unter AWS CLI -Befehlsreferenz.

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

Verwenden Sie den get-studio-session-mapping-Befehl, um die neue Zuweisung der Sitzungsrichtlinie zu überprüfen. Ersetzen <example-identity-name> mit dem IAM Identity Center-Namen des Benutzers oder der Gruppe, den Sie aktualisiert haben.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Um einen Benutzer oder eine Gruppe aus einem EMR Studio zu entfernen, wenn Sie den IAM Authentifizierungsmodus verwenden, müssen Sie dem Benutzer den Zugriff auf das Studio entziehen, indem Sie die IAM Berechtigungsrichtlinie des Benutzers neu konfigurieren.

Gehen Sie in der folgenden Beispielrichtlinie davon aus, dass Sie über ein EMR Studio mit dem Schlüssel-Wert-Paar des Tags verfügen. Team = Quality Assurance Gemäß der Richtlinie kann der Benutzer auf Studios zugreifen, die mit dem Team-Schlüssel gekennzeichnet sind, dessen Wert entweder Data Analytics oder Quality Assurance entspricht. Um den Benutzer aus dem Studio zu entfernen, das mit Team = Quality Assurance markiert ist, entfernen Sie Quality Assurance aus der Liste der Tag-Werte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

Um einen Benutzer oder eine Gruppe aus einem EMR Studio zu entfernen, verwenden Sie AWS CLI

Fügen Sie Ihre eigenen Werte für die folgenden delete-studio-session-mapping-Argumente ein. Weitere Informationen über den Befehl delete-studio-session-mapping finden Sie unter AWS CLI -Befehlsreferenz.

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \