Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement des blocs-notes et des fichiers de l'espace de travail EMR Studio

Dans EMR Studio, vous pouvez créer et configurer différents espaces de travail pour organiser et exécuter des blocs-notes. Ces espaces de travail stockent les blocs-notes et les fichiers associés dans le compartiment Amazon S3 que vous avez spécifié. Par défaut, ces fichiers sont chiffrés à l'aide de S3-managed clés Amazon (SSE-S3), le cryptage côté serveur étant le niveau de cryptage de base. Vous pouvez également choisir d'utiliser des clés KMS gérées par le client (SSE-KMS) pour chiffrer vos fichiers. Vous pouvez le faire à l'aide de la console de gestion Amazon EMR ou via le AWS SDK AWS CLI et lors de la création d'un studio EMR.

Le chiffrement du stockage de l'espace de travail EMR Studio est disponible dans toutes les régions où EMR Studio est disponible.

Conditions préalables

Avant de pouvoir chiffrer le bloc-notes et les fichiers de l'espace de travail EMR Studio, vous AWS Key Management Service devez créer une clé de gestion client (CMK) symétrique dans la même Compte AWS région que votre EMR Studio.

Votre politique de ressources AWS KMS doit disposer des autorisations d'accès nécessaires pour le rôle de service de votre EMR Studio. Voici un exemple de politique IAM accordant des autorisations d'accès minimales pour le chiffrement du stockage d'EMR Studio Workspace :

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

Votre rôle de service EMR Studio doit également disposer des autorisations d'accès nécessaires pour utiliser votre AWS KMS clé. Voici un exemple de politique IAM accordant les autorisations d'accès minimales pour le chiffrement du stockage d'EMR Studio Workspace :

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:*:123456789012:key/12345678-1234-1234-1234-123456789012"
      ]
    }
  ]
}

Création d'un nouveau studio EMR

Suivez ces étapes pour créer un nouvel EMR Studio qui utilise le chiffrement du stockage de l'espace de travail.

Les étapes suivantes montrent comment mettre à jour un studio EMR et configurer le chiffrement du stockage de l'espace de travail.