Menetapkan dan mengelola pengguna EMR Studio

Saat Anda menggunakanMengatur mode IAM otentikasi untuk Amazon Studio EMR, Anda harus mengizinkan CreateStudioPresignedUrl tindakan dalam kebijakan IAM izin pengguna dan membatasi pengguna ke Studio tertentu. Anda dapat memasukkan CreateStudioPresignedUrl dalam kebijakan Anda Izin pengguna untuk mode otentikasi IAM atau menggunakan kebijakan terpisah.

Untuk membatasi pengguna ke Studio (atau kumpulan Studios), Anda dapat menggunakan kontrol akses berbasis atribut (ABAC) atau menentukan Nama Sumber Daya Amazon (ARN) Studio dalam Resource elemen kebijakan izin.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

Saat menetapkan pengguna atau grup ke EMR Studio, Anda menentukan kebijakan sesi yang menentukan izin berbutir halus, seperti kemampuan untuk membuat EMR klaster baru, untuk pengguna atau grup tersebut. Amazon EMR menyimpan pemetaan kebijakan sesi ini. Anda dapat memperbarui kebijakan sesi pengguna atau grup setelah penetapan.

Untuk menetapkan pengguna atau grup ke EMR Studio menggunakan AWS CLI

Masukkan nilai Anda sendiri untuk argumen create-studio-session-mapping berikut. Untuk informasi lebih lanjut tentang perintah create-studio-session-mapping, lihat Referensi Perintah AWS CLI .

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

Gunakan perintah get-studio-session-mapping untuk memverifikasi tugas baru. Ganti <example-identity-name> dengan nama Pusat IAM Identitas pengguna atau grup yang Anda perbarui.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Untuk memperbarui izin pengguna atau grup saat Anda menggunakan mode IAM autentikasi, gunakan IAM untuk mengubah kebijakan IAM izin yang dilampirkan pada IAM identitas Anda (pengguna, grup, atau peran).

Untuk informasi selengkapnya, lihat Izin pengguna untuk mode otentikasi IAM.

Untuk memperbarui izin EMR Studio untuk pengguna atau grup menggunakan AWS CLI

Masukkan nilai Anda sendiri untuk argumen update-studio-session-mappings berikut. Untuk informasi lebih lanjut tentang perintah update-studio-session-mappings, lihat Referensi Perintah AWS CLI .

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

Gunakan perintah get-studio-session-mapping untuk memverifikasi penetapan kebijakan sesi baru. Ganti <example-identity-name> dengan nama Pusat IAM Identitas pengguna atau grup yang Anda perbarui.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Untuk menghapus pengguna atau grup dari EMR Studio saat Anda menggunakan mode IAM autentikasi, Anda harus mencabut akses pengguna ke Studio dengan mengonfigurasi ulang kebijakan izin pengguna. IAM

Dalam contoh kebijakan berikut, asumsikan bahwa Anda memiliki EMR Studio dengan pasangan nilai kunci tag. Team = Quality Assurance Menurut kebijakan, pengguna dapat mengakses Studios yang ditandai dengan Team kunci yang nilainya sama dengan salah satu Data Analytics atauQuality Assurance. Untuk menghapus pengguna dari Studio yang ditandai denganTeam = Quality Assurance, hapus Quality Assurance dari daftar nilai tag.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

Untuk menghapus pengguna atau grup dari EMR Studio menggunakan AWS CLI

Masukkan nilai Anda sendiri untuk argumen delete-studio-session-mapping berikut. Untuk informasi lebih lanjut tentang perintah delete-studio-session-mapping, lihat Referensi Perintah AWS CLI .

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \