Configurazione IAM dei ruoli per EMRFS le richieste ad Amazon S3

Per aggiornare la politica di fiducia di un ruolo IAM

Apri la IAM console all'indirizzo https://console.aws.amazon.com/iam/.

1. Scegliere Roles (Ruoli), immettere il nome del ruolo in Search (Cerca), quindi selezionare il relativo Role name (Nome ruolo).

2. Scegliere Trust relationships (Relazioni di trust), quindi Edit trust relationship (Modifica relazione di trust).

3. Aggiungi un'istruzione di attendibilità in base a quanto riportato nel Policy Document (Documento di policy) secondo le linee guida in alto, quindi scegli Update Trust Policy (Aggiorna policy di attendibilità).

Per specificare IAM i ruoli per EMRFS le richieste ad Amazon S3 utilizzando la console

1. Creare una configurazione di sicurezza che specifichi mappature di ruoli:

   1. Nella EMR console Amazon, seleziona Configurazioni di sicurezza, Crea.

   2. Digitare un nome in Name (Nome) per la configurazione di sicurezza. Questo nome è utilizzato per specificare la configurazione di sicurezza al momento della creazione di un cluster.

   3. Scegli Usa IAM i ruoli per EMRFS le richieste ad Amazon S3.

   4. Seleziona un IAMruolo da applicare e in Basis for access seleziona un tipo di identificatore (utenti, gruppi o prefissi S3) dall'elenco e inserisci gli identificatori corrispondenti. Se si utilizzano più identificatori, separarli con una virgola e senza inserire spazi. Per ulteriori informazioni su ogni tipo di identificatore, vedi JSON configuration reference qui sotto.

   5. Scegliere Add role (Aggiungi ruolo) per configurare ulteriori mappature di ruoli come descritto nella fase precedente.

   6. Configurare altre opzioni per la configurazione di sicurezza come appropriato e scegliere Create (Crea). Per ulteriori informazioni, consulta Crea una configurazione di sicurezza con la EMR console Amazon o con il AWS CLI.

2. Specificare la configurazione di sicurezza creata precedentemente alla creazione di un cluster. Per ulteriori informazioni, consulta Specificare una configurazione di sicurezza per un EMR cluster Amazon.

Per specificare IAM i ruoli per EMRFS le richieste ad Amazon S3 utilizzando AWS CLI

1. Utilizza il aws emr create-security-configuration comando, specificando un nome per la configurazione di sicurezza e i dettagli della configurazione di sicurezza nel JSON formato.

   L'esempio di comando riportato di seguito crea una configurazione di sicurezza con il nome EMRFS_Roles_Security_Configuration. Si basa su una JSON struttura del fileMyEmrfsSecConfig.json, che viene salvato nella stessa directory in cui viene eseguito il comando.

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   Utilizza le linee guida seguenti per la struttura del file MyEmrFsSecConfig.json. È possibile specificare questa struttura insieme alle strutture per altre opzioni della configurazione di sicurezza. Per ulteriori informazioni, consulta Crea una configurazione di sicurezza con la EMR console Amazon o con il AWS CLI.

   Di seguito è riportato un JSON frammento di esempio per specificare IAM ruoli personalizzati EMRFS all'interno di una configurazione di sicurezza. Vengono illustrate le mappature dei ruoli per i tre diversi tipi di identificatori, seguite da un riferimento ai parametri.

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   Parametro	Descrizione
   "AuthorizationConfiguration":	Obbligatorio.
   "EmrFsConfiguration":	Obbligatorio. Contiene mappature dei ruoli.
   "RoleMappings":	Obbligatorio. Contiene una o più definizioni di mappatura dei ruoli. Le mappature dei ruoli vengono valutate dall'alto verso il basso nell'ordine in cui vengono visualizzate. Se una mappatura dei ruoli risulta vera per una EMRFS chiamata di dati in Amazon S3, non vengono valutate ulteriori mappature dei ruoli EMRFS e utilizza il ruolo specificato per la richiesta. IAM Le mappature dei ruoli sono costituite dai parametri obbligatori seguenti:
   "Role":	Speciifica l'ARNidentificatore di un ruolo nel formato. IAM arn:aws:iam::account-id:role/role-name Questo è il IAM ruolo che Amazon EMR assume se la EMRFS richiesta ad Amazon S3 corrisponde a uno dei Identifiers valori specificati.
   "IdentifierType":	Il valore può essere uno dei seguenti: "User" specifica che gli identificatori sono uno o più utenti Hadoop, i quali possono essere utenti di account Linux o entità Kerberos. Quando la EMRFS richiesta proviene dall'utente o dagli utenti specificati, viene IAM assunto il ruolo. "Prefix" specifica che l'identificatore è un percorso Amazon S3. Il IAM ruolo viene assunto per le chiamate alla posizione o alle posizioni con i prefissi specificati. Ad esempio, il prefisso s3://mybucket/ corrisponde a s3://mybucket/mydir e s3://mybucket/yetanotherdir. "Group" specifica che gli identificatori sono uno o più Gruppi Hadoop. Il IAM ruolo viene assunto se la richiesta proviene da un utente del gruppo o dei gruppi specificati.
   "Identifiers":	Specifica uno o più identificatori del tipo di identificatore appropriato. Separa più identificatori con virgole senza spazi.

2. Utilizzare il comando aws emr create-cluster per creare un cluster e specificare la configurazione di sicurezza creata nella fase precedente.

   L'esempio seguente crea un cluster con le principali applicazioni Hadoop di default installate. Il cluster utilizza la configurazione di sicurezza creata sopra EMRFS_Roles_Security_Configuration e utilizza anche un EMR ruolo Amazon personalizzato per EC2EC2_Role_EMR_Restrict_S3, che viene specificato utilizzando l'InstanceProfileargomento del --ec2-attributes parametro.

   Nota

   I caratteri di continuazione della riga Linux (\) sono inclusi per questioni di leggibilità. Possono essere rimossi o utilizzati nei comandi Linux. Per Windows, rimuovili o sostituiscili con un accento circonflesso (^).

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.3.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration