Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Nozioni di base su Centro identità AWS IAM e Amazon EMR

Questa sezione ti aiuta a configurare Amazon EMR per l'integrazione con Centro identità AWS IAM.

Crea un'istanza del Centro identità

Se non ne hai ancora una, crea un'istanza del Centro identità nella Regione AWS in cui desideri avviare il cluster EMR. Un'istanza del Centro identità può esistere solo in una singola regione per un Account AWS.

Usa il AWS CLI comando seguente per creare una nuova istanza denominataMyInstance:

aws sso-admin create-instance --name MyInstance

Crea un ruolo IAM per il Centro identità

Per integrare Amazon EMR con Centro identità AWS IAM, crea un ruolo IAM che si autentichi con Identity Center dal cluster EMR. Dietro le quinte, Amazon EMR utilizza le credenziali SigV4 per inoltrare l'identità del Centro identità a servizi downstream come AWS Lake Formation. Il tuo ruolo dovrebbe avere anche le autorizzazioni necessarie per richiamare i servizi downstream.

Quando crei il ruolo, utilizza la seguente policy di autorizzazione:

{
  "Statement": [
    {
      "Sid": "IdCPermissions",
      "Effect": "Allow",
      "Action": [
        "sso-oauth:*"
      ],
      "Resource": "*"
    },
    {
      "Sid": "GlueandLakePermissions",
      "Effect": "Allow",
      "Action": [
        "glue:*",
        "lakeformation:GetDataAccess"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AccessGrantsPermissions",
      "Effect": "Allow",
      "Action": [
        "s3:GetDataAccess",
        "s3:GetAccessGrantsInstanceForPrefix"
      ],
      "Resource": "*"
    }
  ]
}

La policy di attendibilità per questo ruolo consente al ruolo InstanceProfile di assumere quel ruolo.

{
    "Sid": "AssumeRole",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::12345678912:role/EMR_EC2_DefaultRole"
    },
    "Action": [
        "sts:AssumeRole",
        "sts:SetContext"
    ]
}

Se il ruolo non dispone di credenziali affidabili e accede a una Formation-protected tabella Lake, Amazon EMR imposta automaticamente il ruolo assunto su. principalId userID-untrusted Di seguito è riportato un frammento di un CloudTrail evento che mostra il. principalId

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "ABCDEFGH1JKLMNO2PQR3TU:5000-untrusted",
        "arn": "arn:aws:sts::123456789012:assumed-role/EMR_TIP/5000-untrusted",
        "accountId": "123456789012",
        "accessKeyId": "ABCDEFGH1IJKLMNOPQ7R3"
        ...

Aggiungi le autorizzazioni per i servizi non integrati con IAM Identity Center

AWS credenziali che utilizzano Trusted Identity Propagation, le politiche IAM definite nel ruolo IAM per tutte le chiamate effettuate a servizi non integrati con IAM Identity Center. Ciò include, ad esempio, il. AWS Key Management Service Il tuo ruolo dovrebbe inoltre definire tutte le autorizzazioni IAM per tutti i servizi a cui tenteresti di accedere, ad esempio AWS Key Management Service. I servizi integrati IAM Identity Center attualmente supportati includono AWS Lake Formation Amazon S3 Access Grants.

Per saperne di più sulla Trusted Identity Propagation, consulta Trusted Identity Propagation across applications.

Crea una configurazione di sicurezza abilitata per il Centro identità

Per avviare un cluster EMR con l'integrazione del Centro identità IAM, utilizza il seguente comando di esempio per creare una configurazione di sicurezza Amazon EMR con il Centro identità abilitato. Ogni configurazione è spiegata di seguito.

aws emr create-security-configuration --name "IdentityCenterConfiguration-with-lf-accessgrants" --region "us-west-2" --security-configuration '{
    "AuthenticationConfiguration":{
        "IdentityCenterConfiguration":{
            "EnableIdentityCenter":true,
            "IdentityCenterApplicationAssigmentRequired":false,
            "IdentityCenterInstanceARN": "arn:aws:sso:::instance/ssoins-123xxxxxxxxxx789"
        }
    },
    "AuthorizationConfiguration": {
        "LakeFormationConfiguration": {
            "AuthorizedSessionTagValue": "Amazon EMR"
        },
        "IAMConfiguration": {
          "EnableApplicationScopedIAMRole": true,
          "ApplicationScopedIAMRoleConfiguration": {
            "PropagateSourceIdentity": true
          }
        }
    },
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": true,
        "EnableAtRestEncryption": false,
        "InTransitEncryptionConfiguration": {
            "TLSCertificateConfiguration": {
                "CertificateProviderType": "PEM",
                "S3Object": "s3://amzn-s3-demo-bucket/cert/my-certs.zip"
            }
        }
    }
}' 

Per abilitare l'integrazione del Centro identità con Amazon EMR, devi specificare EncryptionConfiguration e. IntransitEncryptionConfiguration

Crea e avvia un cluster abilitato per il Centro identità

Ora che hai configurato il ruolo IAM che esegue l'autenticazione con il Centro identità e hai creato una configurazione di sicurezza Amazon EMR con il Centro identità abilitato, puoi creare e avviare il tuo cluster con riconoscimento dell'identità. Per i passaggi per avviare il cluster con la configurazione di sicurezza richiesta, consulta Specifica una configurazione di sicurezza per un cluster Amazon EMR.

Le sezioni seguenti descrivono come configurare il cluster abilitato per Identity Center con opzioni di sicurezza supportate da Amazon EMR: