View a markdown version of this page

Menyiapkan propagasi identitas tepercaya dengan Amazon EMR Studio - AWS IAM Identity Center
PrasyaratLangkah 1. Buat peran IAM yang diperlukan untuk EMR StudioLangkah 2. Buat dan konfigurasikan EMR Studio Anda

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan propagasi identitas tepercaya dengan Amazon EMR Studio

Prosedur berikut memandu Anda melalui pengaturan Amazon EMR Studio untuk propagasi identitas tepercaya dalam kueri terhadap grup kerja Amazon Athena atau cluster Amazon EMR yang sedang berjalan. Apache Spark

Prasyarat

Sebelum Anda dapat memulai dengan tutorial ini, Anda harus menyiapkan yang berikut:

  1. Aktifkan Pusat Identitas IAM. Instance organisasi direkomendasikan. Untuk informasi selengkapnya, lihat Prasyarat dan pertimbangan.

  2. Menyediakan pengguna dan grup dari sumber identitas Anda ke Pusat Identitas IAM.

Untuk menyelesaikan penyiapan propagasi identitas tepercaya dari Amazon EMR Studio, administrator EMR Studio harus melakukan langkah-langkah berikut.

Langkah 1. Buat peran IAM yang diperlukan untuk EMR Studio

Pada langkah ini, Studio administrator Amazon EMR membuat peran layanan IAM dan peran pengguna IAM untuk EMR. Studio

  1. Buat peran layanan EMR Studio - EMR Studio mengambil peran IAM ini untuk mengelola ruang kerja dan notebook dengan aman, terhubung ke cluster, dan menangani interaksi data.

    1. Arahkan ke konsol IAM (https://console.aws.amazon.com/iam/) dan buat peran IAM.

    2. Pilih Layanan AWS sebagai entitas tepercaya dan kemudian pilih Amazon EMR. Lampirkan kebijakan berikut untuk menentukan izin peran dan hubungan kepercayaan.

      Untuk menggunakan kebijakan ini, ganti kebijakan italicized placeholder text dalam contoh dengan informasi Anda sendiri. Untuk petunjuk tambahan, lihat Membuat kebijakan atau Mengedit kebijakan.

      JSON
      {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "ObjectActions",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::Your-S3-Bucket-For-EMR-Studio/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "Your-AWS-Account-ID"
                }
            }
        },
        {
            "Sid": "BucketActions",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetEncryptionConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::Your-S3-Bucket-For-EMR-Studio"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "Your-AWS-Account-ID"
                }
            }
        }
    ]
}
      Tampilkan lebih banyakTampilkan lebih sedikit

      Untuk referensi semua izin peran layanan, lihat izin peran layanan EMR Studio.

    Tampilkan lebih banyakTampilkan lebih sedikit

  2. Buat peran pengguna EMR Studio untuk otentikasi Pusat Identitas IAM - EMR Studio mengambil peran ini ketika pengguna masuk melalui Pusat Identitas IAM untuk mengelola ruang kerja, cluster EMR, pekerjaan, repositori git. Peran ini digunakan untuk memulai alur kerja propagasi identitas tepercaya.

    catatan

    Peran pengguna EMR Studio tidak perlu menyertakan izin untuk mengakses lokasi Amazon S3 tabel di AWS Glue Katalog. AWS Lake Formation izin dan lokasi danau terdaftar akan digunakan untuk menerima izin sementara.

    Kebijakan contoh berikut dapat digunakan dalam peran yang memungkinkan pengguna EMR Studio menggunakan kelompok kerja Athena untuk menjalankan kueri.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDefaultEC2SecurityGroupsCreationInVPCWithEMRTags",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateSecurityGroup"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:vpc/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/for-use-with-amazon-emr-managed-policies": "true"
                }
            }
        },
        {
            "Sid": "AllowAddingEMRTagsDuringDefaultSecurityGroupCreation",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": "arn:aws:ec2:*:*:security-group/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/for-use-with-amazon-emr-managed-policies": "true",
                    "ec2:CreateAction": "CreateSecurityGroup"
                }
            }
        },
        {
            "Sid": "AllowSecretManagerListSecrets",
            "Action": [
                "secretsmanager:ListSecrets"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Sid": "AllowSecretCreationWithEMRTagsAndEMRStudioPrefix",
            "Effect": "Allow",
            "Action": "secretsmanager:CreateSecret",
            "Resource": "arn:aws:secretsmanager:*:*:secret:emr-studio-*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/for-use-with-amazon-emr-managed-policies": "true"
                }
            }
        },
        {
            "Sid": "AllowAddingTagsOnSecretsWithEMRStudioPrefix",
            "Effect": "Allow",
            "Action": "secretsmanager:TagResource",
            "Resource": "arn:aws:secretsmanager:*:*:secret:emr-studio-*"
        },
        {
            "Sid": "AllowPassingServiceRoleForWorkspaceCreation",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::111122223333:role/service-role/AmazonEMRStudio_ServiceRole_Name"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "AllowS3ListAndLocationPermissions",
            "Action": [
                "s3:ListAllMyBuckets",
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": "arn:aws:s3:::*",
            "Effect": "Allow"
        },
        {
            "Sid": "AllowS3ReadOnlyAccessToLogs",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::aws-logs-Your-AWS-Account-ID-Region/elasticmapreduce/*"
            ],
            "Effect": "Allow"
        },
        {
            "Sid": "AllowAthenaQueryExecutions",
            "Effect": "Allow",
            "Action": [
                "athena:StartQueryExecution",
                "athena:GetQueryExecution",
                "athena:GetQueryResults",
                "athena:StopQueryExecution",
                "athena:ListQueryExecutions",
                "athena:GetQueryResultsStream",
                "athena:ListWorkGroups",
                "athena:GetWorkGroup",
                "athena:CreatePreparedStatement",
                "athena:GetPreparedStatement",
                "athena:DeletePreparedStatement"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowGlueSchemaManipulations",
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabase",
                "glue:GetDatabases",
                "glue:GetTable",
                "glue:GetTables",
                "glue:GetPartition",
                "glue:GetPartitions"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowQueryEditorToAccessWorkGroup",
            "Effect": "Allow",
            "Action": "athena:GetWorkGroup",
            "Resource": "arn:aws:athena:*:111122223333:workgroup*"
        },
        {
            "Sid": "AllowConfigurationForWorkspaceCollaboration",
            "Action": [
                "elasticmapreduce:UpdateEditor",
                "elasticmapreduce:PutWorkspaceAccess",
                "elasticmapreduce:DeleteWorkspaceAccess",
                "elasticmapreduce:ListWorkspaceAccessIdentities"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/creatorUserId": "${aws:userId}"
                }
            }
        },
        {
            "Sid": "DescribeNetwork",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Sid": "ListIAMRoles",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AssumeRole",
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": "*"
        }
    ]
}
    Tampilkan lebih banyakTampilkan lebih sedikit

    Kebijakan kepercayaan berikut memungkinkan EMR Studio untuk mengambil peran:

    catatan

    Izin tambahan diperlukan untuk memanfaatkan Ruang Kerja EMR Studio dan Notebook EMR. Lihat Membuat kebijakan izin untuk pengguna EMR Studio untuk informasi selengkapnya.

    Anda dapat menemukan informasi lebih lanjut dengan tautan berikut:
    Tampilkan lebih banyakTampilkan lebih sedikit

Langkah 2. Buat dan konfigurasikan EMR Studio Anda

Pada langkah ini, Anda akan membuat Amazon EMR Studio di konsol EMR Studio dan menggunakan peran IAM yang Anda buat. Langkah 1. Buat peran IAM yang diperlukan untuk EMR Studio

  1. Arahkan ke konsol EMR Studio, pilih Create Studio dan opsi Custom Setup. Anda dapat membuat bucket S3 baru atau menggunakan bucket yang sudah ada. Anda dapat mencentang kotak untuk Enkripsi file ruang kerja dengan kunci KMS Anda sendiri. Untuk informasi selengkapnya, lihat AWS Key Management Service.

    Langkah 1 Buat EMR Studio di konsol EMR.

  2. Di bawah Peran layanan untuk membiarkan Studio mengakses sumber daya Anda, pilih peran layanan yang dibuat Langkah 1. Buat peran IAM yang diperlukan untuk EMR Studio dari menu.

  3. Pilih Pusat Identi tas IAM di bawah Oten tik asi. Pilih peran pengguna yang dibuat diLangkah 1. Buat peran IAM yang diperlukan untuk EMR Studio.

    Langkah 3 Buat EMR Studio di konsol EMR, pilih Pusat Identitas IAM untuk metode otentikasi.

  4. Centang kotak Propagasi identitas te percaya. Pilih Hanya pengguna dan grup yang ditugaskan di bawah bagian Akses aplikasi, yang akan memungkinkan Anda untuk hanya memberikan pengguna dan grup yang berwenang untuk mengakses studio ini.

  5. (Opsional) - Anda dapat mengkonfigurasi VPC dan subnet jika Anda menggunakan Studio ini dengan cluster EMR.

    Langkah 4 Buat EMR Studio di konsol EMR, pilih pengaturan jaringan dan keamanan.

  6. Tinjau semua detail dan pilih Buat Studio.

  7. Setelah mengonfigurasi cluster Athena WorkGroup atau EMR, masuk ke URL Studio untuk:

    1. Jalankan query Athena dengan Query Editor.

    2. Jalankan pekerjaan Spark di ruang kerja menggunakan Jupyter notebook.