Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Beispielrichtlinien für private Subnetze, die auf Amazon S3 zugreifen

Wenn Sie einen Amazon EMR-Cluster in einem privaten Subnetz starten, müssen Sie eine Route zu Amazon S3 angeben. Standardmäßig ermöglicht ein Gateway-Endpunkt für Amazon S3 den Zugriff auf alle Buckets. Sie können eine VPC-Endpunktrichtlinie erstellen, um den Zugriff auf bestimmte Buckets einzuschränken. In diesem Fall müssen Sie Policy-Statements hinzufügen, die den Zugriff auf die spezifischen S3-Buckets ermöglichen, die von Amazon EMR benötigt werden. Weitere Informationen zu Amazon S3-Endpunkten finden Sie unter Gateway-Endpunkte für Amazon S3.

Es ist dem Benutzer überlassen, den Businessanforderungen entsprechende Richtlinieneinschränkungen festzulegen. Auf dieser Seite werden die Buckets beschrieben, die Amazon EMR benötigt, um einen Cluster erfolgreich zu starten, gefolgt von einem Beispiel für eine VPC-Endpunktrichtlinie, die den Zugriff auf diese Buckets gewährt.

Erforderliche Buckets

Amazon Linux AMI-Repositorys

Alle Amazon EMR-Cluster benötigen Zugriff auf Amazon Linux-Repositorys. Die spezifischen Bucket-ARNs hängen von der verwendeten Version von Amazon Linux ab, die von der verwendeten Amazon EMR-Version abhängt:

Amazon EMR-Repositorys

Amazon EMR 5.22.0 und höher benötigen Zugriff auf den EMR-Repository-Bucket. arn:aws:s3:::repo.region.emr.amazonaws.com

Amazon EMR 8.0.0 und höher sowie Amazon EMR Spark 8.0.0 und höher benötigen Zugriff auf die EMR-Instance-Daten-Buckets und. arn:aws:s3:::aws157-instance-data-0-prod-region arn:aws:s3:::aws157-instance-data-1-prod-region

In der Region ap-southeast-2 werden diese Buckets stattdessen mit und benannt. arn:aws:s3:::aws157-instance-data-bucket-0-prod-ap-southeast-2 arn:aws:s3:::aws157-instance-data-bucket-1-prod-ap-southeast-2

Protokollierung

Wenn Sie die Cluster-Protokollierung aktivieren, benötigen Sie PUT-Berechtigungen für den Bucket, den Sie beim Erstellen des Clusters als Protokollziel angegeben haben, sowie für den Systemlog-Bucket. In der Region us-east-1 lautet der Bucket-ARNarn:aws:s3:::aws157-logs-prod; für alle anderen Regionen lautet der Bucket-ARN. arn:aws:s3:::aws157-logs-prod-region

Persistente Anwendungsbenutzeroberflächen

Bei Amazon EMR 5.25.0 oder höher müssen Sie Amazon EMR den Zugriff auf den System-Bucket, der Anwendungsprotokolle sammelt, erlauben, mit einem Klick auf persistente Anwendungsbenutzeroberflächen zuzugreifen. arn:aws:s3:::prod.region.appinfo.src Weitere Informationen finden Sie unter Benutzerschnittstellen für persistente Anwendungen in Amazon EMR anzeigen.

Beispielrichtline

Die folgende Beispielrichtlinie stellt die erforderlichen Berechtigungen bereit, um einen Amazon EMR 8.0.0-Cluster in einem privaten Subnetz in der Region us-east-2 zu starten, wobei Protokollierung und persistente Anwendungsbenutzeroberflächen aktiviert sind.

{
  "Version":"2012-10-17", 
  "Statement": [
    {
      "Sid": "AmazonLinux2023AMIRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::al2023-repos-us-east-2-de612dc2/*"
      ]
    },
    {
      "Sid": "EmrRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::repo.us-east-2.emr.amazonaws.com/*",
        "arn:aws:s3:::aws157-instance-data-0-prod-us-east-2/*",
        "arn:aws:s3:::aws157-instance-data-1-prod-us-east-2/*"
      ]
    },
    {
      "Sid": "EnableClusterLogs",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:Put*"
      ],
      "Resource": [
        "arn:aws:s3:::aws157-logs-prod-us-east-2/*",
        "arn:aws:s3:::my-logs-bucket/*"
      ]
    },
    {
      "Sid": "EnableApplicationHistory",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:Put*",
        "s3:Get*",
        "s3:Create*",
        "s3:Abort*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::prod.us-east-2.appinfo.src/*"
      ]
    }
  ]
}