Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado de cuadernos y archivos del espacio de trabajo de EMR Studio

En un EMR Studio, puede crear y configurar diferentes espacios de trabajo para organizar y ejecutar cuadernos. Estos espacios de trabajo almacenan cuadernos y archivos relacionados en el bucket de Amazon S3 que especifique. De forma predeterminada, estos archivos se cifran con Amazon S3-managed keys (SSE-S3) y el cifrado del lado del servidor es el nivel base de cifrado. También puedes optar por usar las claves de KMS administradas por el cliente (SSE-KMS) para cifrar tus archivos. Puede hacerlo mediante la consola de administración de Amazon EMR o mediante el AWS SDK AWS CLI and al crear un EMR Studio.

El cifrado del almacenamiento del espacio de trabajo de EMR Studio está disponible en todas las Regiones en las que está disponible EMR Studio.

Requisitos previos

Antes de poder cifrar el cuaderno y los archivos del espacio de trabajo de EMR Studio, debe AWS Key Management Service crear una clave de administrador de clientes (CMK) simétrica en la misma Cuenta de AWS región que su EMR Studio.

Su política de recursos AWS KMS debe tener los permisos de acceso necesarios para la función de servicio de EMR Studio. El siguiente es un ejemplo de política de IAM que otorga permisos de acceso mínimos para el cifrado de almacenamiento de un espacio de trabajo de EMR Studio:

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

Su función de servicio de EMR Studio también debe tener los permisos de acceso para usar su AWS KMS clave. El siguiente es un ejemplo de política de IAM que concede los permisos de acceso mínimos para el cifrado de almacenamiento de un espacio de trabajo de EMR Studio:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:*:123456789012:key/12345678-1234-1234-1234-123456789012"
      ]
    }
  ]
}

Crear un nuevo EMR Studio

Siga estos pasos para crear un nuevo EMR Studio que utilice el cifrado de almacenamiento del espacio de trabajo.

Los siguientes pasos muestran cómo actualizar un EMR Studio y configurar el cifrado del almacenamiento del espacio de trabajo.