Exemples de politiques pour les sous-réseaux privés qui accèdent à Amazon S3

Pour les sous-réseaux privés, vous devez au minimum permettre à Amazon EMR d'accéder aux référentiels Amazon Linux. Cette politique de sous-réseau privé fait partie des politiques du point de terminaison d'un VPC pour l'accès à Amazon S3.

Avec Amazon EMR 5.25.0 ou version ultérieure, pour activer l'accès en un clic au serveur d'historique Spark permanent, vous devez autoriser Amazon EMR à accéder au compartiment système qui collecte les journaux d'événements Spark. Si vous activez la journalisation, accordez des autorisations PUT au compartiment suivant :

aws157-logs-${AWS::Region}/*

Pour plus d'informations, consultez Accès en un clic au serveur d'historique Spark permanent.

Il vous appartient de déterminer les restrictions de stratégie répondant à vos besoins métier. L'exemple de stratégie suivant fournit des autorisations pour accéder aux référentiels Amazon Linux et au compartiment système Amazon EMR pour la collecte des journaux d'événements Spark. Il présente quelques exemples de noms de ressources pour les buckets.

Pour plus d'informations sur l'utilisation des politiques IAM avec les points de terminaison d'un VPC Amazon, consultez Politiques de points de terminaison pour Amazon S3.

L'exemple de politique suivant contient des exemples de ressources dans la région us-east-1.

{
   "Version": "2008-10-17",
   "Statement": [
       {
           "Sid": "AmazonLinuxAMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::packages.us-east-1.amazonaws.com/*",
           	"arn:aws:s3:::repo.us-east-1.amazonaws.com/",
           	"arn:aws:s3:::repo.us-east-1.amazonaws.com/*"
           ]
       },
       {
           "Sid": "EnableApplicationHistory",
           "Effect": "Allow",
           "Principal": "*",
           "Action": [
               "s3:Put*",
               "s3:Get*",
               "s3:Create*",
               "s3:Abort*",
               "s3:List*"
           ],
           "Resource": [
           	"arn:aws:s3:::prod.us-east-1.appinfo.src/*"
           ]
       }
   ]
}

L'exemple de politique suivant fournit les autorisations requises pour accéder aux référentiels Amazon Linux 2. L'AMI Amazon Linux 2 est l'AMI par défaut.

{
   "Statement": [
       {
           "Sid": "AmazonLinux2AMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::amazonlinux.us-east-1.amazonaws.com/*",
           	"arn:aws:s3:::amazonlinux-2-repos-us-east-1/*"
           ]
       }
   ]
}

Régions disponibles

Le tableau suivant contient une liste de compartiments par région et inclut à la fois un Amazon Resource Name (ARN) pour le référentiel et une chaîne représentant l'ARN du. appinfo.src L'ARN, ou Amazon Resource Name, est une chaîne qui identifie une AWS ressource de manière unique.