View a markdown version of this page

Configuration de la propagation d'identité sécurisée avec Amazon EMR Studio - AWS IAM Identity Center
Conditions préalablesÉtape 1. Création des rôles IAM requis pour EMR StudioÉtape 2. Créez et configurez votre EMR Studio

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration de la propagation d'identité sécurisée avec Amazon EMR Studio

La procédure suivante vous explique comment configurer Amazon EMR Studio pour une propagation d'identité sécurisée dans les requêtes adressées à un groupe de travail Amazon Athena ou à un cluster Amazon EMR en cours d'exécution. Apache Spark

Conditions préalables

Avant de commencer ce didacticiel, vous devez configurer les éléments suivants :

  1. Activez IAM Identity Center. Une instance d'organisation est recommandée. Pour de plus amples informations, veuillez consulter Prérequis et considérations.

  2. Fournissez les utilisateurs et les groupes à partir de votre source d'identité dans IAM Identity Center.

Pour terminer la configuration de la propagation d'identité sécurisée depuis Amazon EMR Studio, l'administrateur d'EMR Studio doit effectuer les étapes suivantes.

Étape 1. Création des rôles IAM requis pour EMR Studio

Au cours de cette étape, l'Studioadministrateur Amazon EMR crée un rôle de service IAM et un rôle d'utilisateur IAM pour EMR. Studio

  1. Créez un rôle de service EMR Studio - EMR Studio assume ce rôle IAM pour gérer en toute sécurité les espaces de travail et les blocs-notes, se connecter à des clusters et gérer les interactions de données.

    1. Accédez à la console IAM (https://console.aws.amazon.com/iam/) et créez un rôle IAM.

    2. Sélectionnez Service AWS comme entité de confiance, puis choisissez Amazon EMR. Joignez les politiques suivantes pour définir les autorisations et la relation de confiance du rôle.

      Pour utiliser cette politique, remplacez celle de italicized placeholder text l'exemple de politique par vos propres informations. Pour des instructions supplémentaires, voir Créer une politique ou Modifier une politique.

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ObjectActions",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::Your-S3-Bucket-For-EMR-Studio/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "Your-AWS-Account-ID"
                }
            }
        },
        {
            "Sid": "BucketActions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::Your-S3-Bucket-For-EMR-Studio"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "Your-AWS-Account-ID"
                }
            }
        }
    ]
}
      Afficher plusAfficher moins

      Pour obtenir une référence de toutes les autorisations de rôle de service, consultez la section Autorisations de rôle de service d'EMR Studio.

    Afficher plusAfficher moins

  2. Créez un rôle utilisateur EMR Studio pour l'authentification IAM Identity Center - EMR Studio assume ce rôle lorsqu'un utilisateur se connecte via IAM Identity Center pour gérer les espaces de travail, les clusters EMR, les jobs et les référentiels git. Ce rôle est utilisé pour lancer le flux de travail de propagation d'identité sécurisé.

    Note

    Le rôle utilisateur d'EMR Studio n'a pas besoin d'inclure des autorisations pour accéder aux emplacements Amazon S3 des tables du AWS Glue catalogue. AWS Lake Formation les autorisations et les emplacements enregistrés des lacs seront utilisés pour recevoir des autorisations temporaires.

    L'exemple de politique suivant peut être utilisé dans un rôle permettant à un utilisateur d'EMR Studio d'utiliser les groupes de travail Athena pour exécuter des requêtes.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDefaultEC2SecurityGroupsCreationInVPCWithEMRTags",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSecurityGroup"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:vpc/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/for-use-with-amazon-emr-managed-policies": "true"
                }
            }
        },
        {
            "Sid": "AllowAddingEMRTagsDuringDefaultSecurityGroupCreation",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:security-group/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/for-use-with-amazon-emr-managed-policies": "true",
                    "ec2:CreateAction": "CreateSecurityGroup"
                }
            }
        },
        {
            "Sid": "AllowSecretManagerListSecrets",
            "Action": [
                "secretsmanager:ListSecrets"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Sid": "AllowSecretCreationWithEMRTagsAndEMRStudioPrefix",
            "Effect": "Allow",
            "Action": "secretsmanager:CreateSecret",
            "Resource": "arn:aws:secretsmanager:*:*:secret:emr-studio-*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/for-use-with-amazon-emr-managed-policies": "true"
                }
            }
        },
        {
            "Sid": "AllowAddingTagsOnSecretsWithEMRStudioPrefix",
            "Effect": "Allow",
            "Action": "secretsmanager:TagResource",
            "Resource": "arn:aws:secretsmanager:*:*:secret:emr-studio-*"
        },
        {
            "Sid": "AllowPassingServiceRoleForWorkspaceCreation",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::111122223333:role/service-role/AmazonEMRStudio_ServiceRole_Name"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "AllowS3ListAndLocationPermissions",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Sid": "AllowS3ReadOnlyAccessToLogs",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-logs-Your-AWS-Account-ID-Region/elasticmapreduce/*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "AllowAthenaQueryExecutions",
            "Effect": "Allow",
            "Action": [
                "athena:StartQueryExecution",
                "athena:GetQueryExecution",
                "athena:GetQueryResults",
                "athena:StopQueryExecution",
                "athena:ListQueryExecutions",
                "athena:GetQueryResultsStream",
                "athena:ListWorkGroups",
                "athena:GetWorkGroup",
                "athena:CreatePreparedStatement",
                "athena:GetPreparedStatement",
                "athena:DeletePreparedStatement"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowGlueSchemaManipulations",
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartition",
                "glue:GetPartitions"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowQueryEditorToAccessWorkGroup",
            "Effect": "Allow",
            "Action": "athena:GetWorkGroup",
            "Resource": "arn:aws:athena:*:111122223333:workgroup*"
        },
        {
            "Sid": "AllowConfigurationForWorkspaceCollaboration",
            "Action": [
                "elasticmapreduce:UpdateEditor",
                "elasticmapreduce:PutWorkspaceAccess",
                "elasticmapreduce:DeleteWorkspaceAccess",
                "elasticmapreduce:ListWorkspaceAccessIdentities"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/creatorUserId": "${aws:userId}"
                }
            }
        },
        {
            "Sid": "DescribeNetwork",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ListIAMRoles",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AssumeRole",
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": "*"
        }
    ]
}
    Afficher plusAfficher moins

    La politique de confiance suivante permet à EMR Studio d'assumer ce rôle :

    Note

    Des autorisations supplémentaires sont nécessaires pour tirer parti des espaces de travail EMR Studio et des blocs-notes EMR. Consultez la section Création de politiques d'autorisations pour les utilisateurs d'EMR Studio pour plus d'informations.

    Vous trouverez de plus amples informations en cliquant sur les liens suivants :
    Afficher plusAfficher moins

Étape 2. Créez et configurez votre EMR Studio

Au cours de cette étape, vous allez créer un Amazon EMR Studio dans la console EMR Studio et utiliser les rôles IAM que vous avez créés dans. Étape 1. Création des rôles IAM requis pour EMR Studio

  1. Accédez à la console EMR Studio, sélectionnez Create Studio et l'option Configuration personnalisée. Vous pouvez créer un nouveau compartiment S3 ou utiliser un compartiment existant. Vous pouvez cocher la case pour chiffrer les fichiers de l'espace de travail avec vos propres clés KMS. Pour de plus amples informations, veuillez consulter AWS Key Management Service.

    Étape 1 Créez EMR Studio dans la console EMR.

  2. Sous Rôle de service pour permettre à Studio d'accéder à vos ressources, sélectionnez le rôle Étape 1. Création des rôles IAM requis pour EMR Studio de service créé dans le menu.

  3. Choisissez IAM Identity Center sous Authentification. Sélectionnez le rôle d'utilisateur créé dansÉtape 1. Création des rôles IAM requis pour EMR Studio.

    Étape 3 Créez EMR Studio dans la console EMR, en sélectionnant IAM Identity Center comme méthode d'authentification.

  4. Cochez la case Propagation d'identité sécurisée. Choisissez Uniquement les utilisateurs et les groupes assignés dans la section Accès à l'application, ce qui vous permettra d'autoriser uniquement les utilisateurs et les groupes autorisés à accéder à ce studio.

  5. (Facultatif) - Vous pouvez configurer un VPC et un sous-réseau si vous utilisez ce Studio avec des clusters EMR.

    Étape 4 Créez EMR Studio dans la console EMR, en sélectionnant les paramètres réseau et de sécurité.

  6. Passez en revue tous les détails et sélectionnez Create Studio.

  7. Après avoir configuré un cluster Athena WorkGroup ou EMR, connectez-vous à l'URL du Studio pour :

    1. Exécutez des requêtes Athena à l'aide de l'éditeur de requêtes.

    2. Exécutez des tâches Spark dans l'espace de travail à l'aide de Jupyter Notebook.