Attribuer et gérer les utilisateurs de EMR Studio

Lorsque vous utilisezConfigurer le mode IAM d'authentification pour Amazon EMR Studio, vous devez autoriser l'CreateStudioPresignedUrlaction dans la politique d'IAMautorisation d'un utilisateur et restreindre l'utilisateur à un studio en particulier. Vous pouvez inclure CreateStudioPresignedUrl dans votre Autorisations utilisateur pour le mode d'authentification IAM ou utiliser une politique distincte.

Pour restreindre un utilisateur à un studio (ou à un ensemble de studios), vous pouvez utiliser le contrôle d'accès basé sur les attributs (ABAC) ou spécifier le nom de ressource Amazon (ARN) d'un studio dans l'Resourceélément de la politique d'autorisation.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

Lorsque vous assignez un utilisateur ou un groupe à un EMR studio, vous spécifiez une politique de session qui définit des autorisations précises, telles que la possibilité de créer un nouveau EMR cluster, pour cet utilisateur ou ce groupe. Amazon EMR stocke ces mappages de politiques de session. Vous pouvez mettre à jour la politique de session d'un utilisateur ou d'un groupe après son attribution.

Pour affecter un utilisateur ou un groupe à un EMR studio à l'aide du AWS CLI

Insérez vos propres valeurs pour les arguments create-studio-session-mapping suivants. Pour plus d'informations sur la commande create-studio-session-mapping, consultez la Référence de commande de l'AWS CLI .

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

Utilisez la commande get-studio-session-mapping pour vérifier la nouvelle attribution. Remplacez <example-identity-name> avec le nom du centre IAM d'identité de l'utilisateur ou du groupe que vous avez mis à jour.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Pour mettre à jour les autorisations des utilisateurs ou des groupes lorsque vous utilisez le mode IAM d'authentification, utilisez IAM cette IAM option pour modifier les politiques d'autorisation associées à vos IAM identités (utilisateurs, groupes ou rôles).

Pour de plus amples informations, veuillez consulter Autorisations utilisateur pour le mode d'authentification IAM.

Pour mettre à jour les autorisations EMR Studio pour un utilisateur ou un groupe à l'aide du AWS CLI

Insérez vos propres valeurs pour les arguments update-studio-session-mappings suivants. Pour plus d'informations sur la commande update-studio-session-mappings, consultez la Référence de commande de l'AWS CLI .

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

Utilisez la commande get-studio-session-mapping pour vérifier l'attribution de la nouvelle politique de session. Remplacez <example-identity-name> avec le nom du centre IAM d'identité de l'utilisateur ou du groupe que vous avez mis à jour.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Pour supprimer un utilisateur ou un groupe d'un EMR studio lorsque vous utilisez le mode IAM d'authentification, vous devez révoquer l'accès de l'utilisateur au studio en reconfigurant la politique d'IAMautorisation de l'utilisateur.

Dans l'exemple de politique suivant, supposons que vous avez un EMR Studio avec la balise paire clé-valeur. Team = Quality Assurance Selon la politique, l'utilisateur peut accéder aux Studios balisés avec la clé Team dont la valeur est égale à Data Analytics ou Quality Assurance. Pour supprimer l'utilisateur du Studio balisé avec Team = Quality Assurance, supprimez Quality Assurance de la liste des valeurs de balise.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

Pour supprimer un utilisateur ou un groupe d'un EMR studio à l'aide du AWS CLI

Insérez vos propres valeurs pour les arguments delete-studio-session-mapping suivants. Pour plus d'informations sur la commande delete-studio-session-mapping, consultez la Référence de commande de l'AWS CLI .

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \