Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Amazon MWAA-Ausführungsrolle

Eine Ausführungsrolle ist eine AWS Identity and Access Management (IAM-) Rolle mit einer Berechtigungsrichtlinie, die Amazon Managed Workflows for Apache Airflow die Erlaubnis erteilt, die Ressourcen anderer AWS Dienste in Ihrem Namen aufzurufen. Dazu können Ressourcen wie Ihr Amazon S3-Bucket, Ihr AWS eigener Schlüssel und Logs gehören. CloudWatch Amazon MWAA-Umgebungen benötigen eine Ausführungsrolle pro Umgebung. In diesem Thema wird beschrieben, wie Sie die Ausführungsrolle für Ihre Umgebung verwenden und konfigurieren, damit Amazon MWAA auf andere von Ihrer Umgebung verwendete AWS Ressourcen zugreifen kann.

Überblick über die Ausführungsrolle

Die Erlaubnis für Amazon MWAA, andere von Ihrer Umgebung verwendete AWS Dienste zu nutzen, wird von der Ausführungsrolle erteilt. Eine Amazon MWAA-Ausführungsrolle benötigt die Genehmigung für die folgenden AWS Dienste, die von einer Umgebung verwendet werden:

Eine Ausführungsrolle benötigt außerdem die Berechtigung für die folgenden IAM-Aktionen:

Standardmäßig angehängte Berechtigungen

Sie können die Standardoptionen auf der Amazon MWAA-Konsole verwenden, um eine Ausführungsrolle und einen AWS-owned Key zu erstellen. Folgen Sie dann den Schritten auf dieser Seite, um Ihrer Ausführungsrolle Berechtigungsrichtlinien hinzuzufügen.

Wie füge ich die Erlaubnis hinzu, andere zu verwenden AWS service

Amazon MWAA kann einer vorhandenen Ausführungsrolle nach der Erstellung einer Umgebung keine Berechtigungsrichtlinien hinzufügen oder bearbeiten. Sie müssen Ihre Ausführungsrolle mit zusätzlichen Berechtigungsrichtlinien aktualisieren, die für Ihre Umgebung erforderlich sind. Wenn Ihre DAG beispielsweise Zugriff auf benötigt AWS Glue, kann Amazon MWAA nicht automatisch erkennen, dass diese Berechtigungen für Ihre Umgebung erforderlich sind, oder die Berechtigungen Ihrer Ausführungsrolle hinzufügen.

Sie können einer Ausführungsrolle auf zwei Arten Berechtigungen hinzufügen:

Unter der Annahme, dass die Ausführungsrolle bereits Ihrer Umgebung zugeordnet ist, kann Amazon MWAA sofort mit der Verwendung der hinzugefügten Berechtigungsrichtlinien beginnen. Das bedeutet auch, dass Ihre DAGs möglicherweise ausfallen, wenn Sie alle erforderlichen Berechtigungen aus einer Ausführungsrolle entfernen.

Wie ordne ich eine neue Ausführungsrolle zu

Sie können die Ausführungsrolle für Ihre Umgebung jederzeit ändern. Wenn Ihrer Umgebung noch keine neue Ausführungsrolle zugeordnet ist, verwenden Sie die Schritte auf dieser Seite, um eine neue Ausführungsrollenrichtlinie zu erstellen, und ordnen Sie die Rolle Ihrer Umgebung zu.

Create a new role (Neue Rolle erstellen)

Standardmäßig erstellt Amazon MWAA einen AWS eigenen Schlüssel für die Datenverschlüsselung und eine Ausführungsrolle in Ihrem Namen. Sie können die Standardoptionen auf der Amazon MWAA-Konsole auswählen, wenn Sie eine Umgebung erstellen. Die folgende Abbildung zeigt die Standardoption zum Erstellen einer Ausführungsrolle für eine Umgebung.

Greifen Sie auf eine Richtlinie für Ausführungsrollen zu und aktualisieren Sie sie

Sie können in der Amazon MWAA-Konsole auf die Ausführungsrolle für Ihre Umgebung zugreifen und die JSON-Richtlinie für die Rolle in der IAM-Konsole aktualisieren.

Hängen Sie eine JSON-Richtlinie an, um andere zu verwenden AWS service

Sie können eine JSON-Richtlinie für einen AWS Dienst erstellen und sie Ihrer Ausführungsrolle zuordnen. Sie können beispielsweise die folgende JSON-Richtlinie anhängen, um schreibgeschützten Zugriff auf alle Ressourcen in zu gewähren. AWS Secrets Manager

JSON

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "secretsmanager:GetResourcePolicy",
            "secretsmanager:GetSecretValue",
            "secretsmanager:DescribeSecret",
            "secretsmanager:ListSecretVersionIds"
         ],
         "Resource":[
            "*"
         ]
      }
   ]
}

Gewähren Sie Zugriff auf den Amazon S3-Bucket mit einer Sperrung des öffentlichen Zugriffs auf Kontoebene

Möglicherweise möchten Sie den Zugriff auf alle Buckets in Ihrem Konto blockieren, indem Sie den PutPublicAccessBlock Amazon S3-Vorgang verwenden. Wenn Sie den Zugriff auf alle Buckets in Ihrem Konto blockieren, muss Ihre Rolle zur Ausführung der Umgebung die s3:GetAccountPublicAccessBlock Aktion in einer Berechtigungsrichtlinie enthalten.

Das folgende Beispiel zeigt die Richtlinie, die Sie Ihrer Ausführungsrolle zuordnen müssen, wenn Sie den Zugriff auf alle Amazon S3-Buckets in Ihrem Konto blockieren.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
     {
       "Effect": "Allow",
       "Action": "s3:GetAccountPublicAccessBlock",
       "Resource": "*"
     }
  ]
}

Weitere Informationen zur Beschränkung des Zugriffs auf Ihre Amazon S3-Buckets finden Sie unter Blockieren des öffentlichen Zugriffs auf Ihren Amazon S3-Speicher im Amazon Simple Storage Service-Benutzerhandbuch.

Verwenden Sie Apache Airflow-Verbindungen

Sie können auch eine Apache Airflow-Verbindung erstellen und Ihre Ausführungsrolle und deren ARN in Ihrem Apache Airflow-Verbindungsobjekt angeben. Weitere Informationen finden Sie unter. Verbindungen zu Apache Airflow verwalten

Beispiel für JSON-Richtlinien für eine Ausführungsrolle

Sie können die beiden Beispielberechtigungsrichtlinien in diesem Abschnitt verwenden, um die für Ihre bestehende Ausführungsrolle verwendete Berechtigungsrichtlinie zu ersetzen, oder um eine neue Ausführungsrolle zu erstellen und für Ihre Umgebung zu verwenden. Diese Richtlinien enthalten https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html Ressourcen-ARN-Platzhalter für Apache Airflow-Protokollgruppen, einen Amazon S3-Bucket und eine Amazon MWAA-Umgebung.

Wir empfehlen, die Beispielrichtlinie zu kopieren, die Beispiel-ARNs oder Platzhalter zu ersetzen und dann die JSON-Richtlinie zu verwenden, um eine Ausführungsrolle zu erstellen oder zu aktualisieren.

Beispielrichtlinie für einen vom Kunden verwalteten Schlüssel

Das folgende Beispiel zeigt eine Ausführungsrollenrichtlinie, die Sie für einen Customer-managed Schlüssel verwenden können.

JSON

{
 "Version":"2012-10-17",
 "Statement": [
  { 
   "Effect": "Deny",
   "Action": "s3:ListAllMyBuckets",
   "Resource": [
     "arn:aws:s3:::amzn-s3-demo-bucket",
	   "arn:aws:s3:::amzn-s3-demo-bucket/*"
   ]
  }, 
  { 
   "Effect": "Allow",
   "Action": [ 
    "s3:GetObject*",
    "s3:GetBucket*",
    "s3:List*"
   ],
   "Resource": [
     "arn:aws:s3:::amzn-s3-demo-bucket",
	   "arn:aws:s3:::amzn-s3-demo-bucket/*"
   ]
  },
  {
   "Effect": "Allow",
   "Action": [
    "logs:CreateLogStream",
    "logs:CreateLogGroup",
    "logs:PutLogEvents",
    "logs:GetLogEvents",
    "logs:GetLogRecord",
    "logs:GetLogGroupFields",
    "logs:GetQueryResults",
    "logs:DescribeLogStreams"
   ],
   "Resource": [
    "arn:aws:logs:us-east-1:111122223333:log-group:airflow-your-environment-name:*"
   ]
  },
  {
   "Effect": "Allow",
   "Action": [
    "logs:DescribeLogGroups"
   ],
   "Resource": [
    "*"
   ]
  },
  {
   "Effect": "Allow",
   "Action": [
    "s3:GetAccountPublicAccessBlock"
   ],
   "Resource": [
    "*"
   ]
  },
  {
   "Effect": "Allow",
   "Action": "cloudwatch:PutMetricData",
   "Resource": "*"
  },
  {
   "Effect": "Allow",
   "Action": [
    "sqs:ChangeMessageVisibility",
    "sqs:DeleteMessage",
    "sqs:GetQueueAttributes",
    "sqs:GetQueueUrl",
    "sqs:ReceiveMessage",
    "sqs:SendMessage"
   ],
   "Resource": "arn:aws:sqs:us-east-1:*:airflow-celery-*"
  },
  {
   "Effect": "Allow",
   "Action": [
    "kms:Decrypt",
    "kms:DescribeKey",
    "kms:GenerateDataKey*",
    "kms:Encrypt"
   ],
   "Resource": "arn:aws:kms:us-east-1:111122223333:key/your-kms-cmk-id",
   "Condition": {
    "StringLike": {
     "kms:ViaService": [
      "sqs.us-east-1.amazonaws.com",
      "s3.us-east-1.amazonaws.com"
     ]
    }
   }
  }
 ]
}

Als Nächstes müssen Sie Amazon MWAA erlauben, diese Rolle zu übernehmen, um Aktionen in Ihrem Namen auszuführen. Dies kann geschehen, indem "airflow.amazonaws.com" Sie mithilfe der IAM-Konsole "airflow-env.amazonaws.com" Dienstprinzipale zur Liste der vertrauenswürdigen Entitäten für diese Ausführungsrolle hinzufügen oder indem Sie diese Dienstprinzipale mithilfe des IAM-Befehls create-role mithilfe des Befehls IAM create-role in das Richtliniendokument zur Übernahme der Rolle für diese Ausführungsrolle aufnehmen. AWS CLI Sehen Sie sich das folgende Beispiel für ein Richtliniendokument zur Annahme einer Rolle an:

JSON

{
    "Version":"2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
            "Service": ["airflow.amazonaws.com","airflow-env.amazonaws.com"]
        },
        "Action": "sts:AssumeRole"
      }
   ]
}

Hängen Sie dann die folgende JSON-Richtlinie an Ihren Customer-managed Schlüssel an. Diese Richtlinie verwendet das kms:EncryptionContext Bedingungsschlüssel-Präfix, um den Zugriff auf Ihre Apache Airflow-Protokollgruppe in CloudWatch Logs zu ermöglichen.

{
  "Sid": "Allow logs access",
  "Effect": "Allow",
  "Principal": {
    "Service": "logs.us-east-1.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt*",
    "kms:Decrypt*",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:Describe*"
  ],
  "Resource": "*",
  "Condition": {
    "ArnLike": {
      "kms:EncryptionContext:aws:logs:arn": "arn:aws:logs:us-east-1:111122223333:*"
    }
  }
}

Beispielrichtlinie für eine AWS-eigener Schlüssel

Das folgende Beispiel zeigt eine Ausführungsrollenrichtlinie, die Sie für einen Schlüssel mit AWS-owned verwenden können.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "airflow:PublishMetrics",
            "Resource": "arn:aws:airflow:us-east-1:111122223333:environment/{your-environment-name}"
        },
        { 
            "Effect": "Deny",
            "Action": "s3:ListAllMyBuckets",
            "Resource": [
								"arn:aws:s3:::amzn-s3-demo-bucket",
								"arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        },
        { 
            "Effect": "Allow",
            "Action": [ 
                "s3:GetObject*",
                "s3:GetBucket*",
                "s3:List*"
            ],
            "Resource": [
								"arn:aws:s3:::amzn-s3-demo-bucket",
								"arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:PutLogEvents",
                "logs:GetLogEvents",
                "logs:GetLogRecord",
                "logs:GetLogGroupFields",
                "logs:GetQueryResults",
                "logs:DescribeLogStreams"
            ],
            "Resource": [
            "arn:aws:logs:us-east-1:111122223333:log-group:airflow-{your-environment-name}-*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:DescribeLogGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetAccountPublicAccessBlock"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "cloudwatch:PutMetricData",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "sqs:ChangeMessageVisibility",
                "sqs:DeleteMessage",
                "sqs:GetQueueAttributes",
                "sqs:GetQueueUrl",
                "sqs:ReceiveMessage",
                "sqs:SendMessage"
            ],
            "Resource": "arn:aws:sqs:us-east-1:*:airflow-celery-*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:DescribeKey",
                "kms:GenerateDataKey*",
                "kms:Encrypt"
            ],
            "NotResource": "arn:aws:kms:*:111122223333:key/*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                    "sqs.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Als nächstes