View a markdown version of this page

Sicurezza in Amazon EMR - Amazon EMR
Sicurezza della rete e dell'infrastrutturaAggiornamenti per l'AMI predefinita di Amazon LinuxAWS Identity and Access Management con Amazon EMRProtezione dei dati

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Sicurezza in Amazon EMR

La sicurezza e la conformità sono una responsabilità con cui condividi. AWS Questo modello di responsabilità condivisa può contribuire ad alleggerire il carico operativo in quanto AWS opera, gestisce e controlla i componenti dal sistema operativo host e dal livello di virtualizzazione fino alla sicurezza fisica delle strutture in cui operano i cluster EMR. Ti assumi la responsabilità della gestione e dell'aggiornamento dei cluster Amazon EMR, nonché della configurazione del software applicativo e dei controlli di sicurezza forniti. AWS Questa differenziazione di responsabilità viene comunemente definita sicurezza del cloud rispetto a sicurezza nel cloud.

  • Sicurezza del cloud: AWS è responsabile della protezione dell'infrastruttura in cui viene eseguita Servizi AWS . AWS AWS ti fornisce anche servizi che puoi utilizzare in sicurezza. Third-party gli auditor testano e verificano regolarmente l'efficacia della nostra sicurezza nell'ambito dei programmi di AWS conformità. Per saperne di più sui programmi di conformità che si applicano ad Amazon EMR, consulta l'Servizi AWS ambito per programma di conformità.

  • Sicurezza nel cloud: sei inoltre responsabile di eseguire tutte le attività di configurazione e gestione della sicurezza necessarie per proteggere un cluster Amazon EMR. I clienti che implementano un cluster Amazon EMR sono responsabili della gestione del software applicativo installato sulle istanze e della configurazione delle funzionalità AWS fornite come gruppi di sicurezza, crittografia e controllo degli accessi in base ai requisiti, alle leggi e ai regolamenti applicabili.

La presente documentazione aiuta a comprendere come applicare il modello di responsabilità condivisa quando si utilizza Amazon EMR. Gli argomenti di questo capitolo mostrano come configurare Amazon EMR e utilizzarne altri per raggiungere i tuoi obiettivi Servizi AWS di sicurezza e conformità.

Sicurezza della rete e dell'infrastruttura

In quanto servizio gestito, Amazon EMR è protetto dalle procedure AWS globali di sicurezza della rete descritte nel white paper Amazon Web Services: Panoramica dei processi di sicurezza. AWS i servizi di protezione della rete e dell'infrastruttura offrono protezioni granulari sia a livello di host che di rete. Supporti Servizi AWS e funzionalità applicative di Amazon EMR che soddisfano i requisiti di protezione e conformità della rete.

Aggiornamenti per l'AMI predefinita di Amazon Linux per Amazon EMR

Importante

I cluster Amazon EMR che eseguono le AMI (Amazon Linux Machine Images) Amazon Linux o Amazon Linux 2 utilizzano il comportamento predefinito di Amazon Linux e non scaricano e installano automaticamente aggiornamenti importanti e critici dei kernel che richiedono un riavvio. Si tratta dello stesso comportamento assunto da altre istanze Amazon EC2 che eseguono l'AMI predefinita di Amazon Linux. Se nuovi aggiornamenti software Amazon Linux che richiedono un riavvio (ad esempio, aggiornamenti del kernel, NVIDIA e CUDA) risultano disponibili dopo il rilascio di una versione di Amazon EMR, le istanze del cluster EMR che eseguono l'AMI predefinita non scaricano e installano automaticamente tali aggiornamenti. Per ottenere gli aggiornamenti del kernel, puoi personalizzare l'AMI di Amazon EMR per utilizzare l'AMI di Amazon Linux più recente.

A seconda dell'assetto di sicurezza dell'applicazione e la durata di esecuzione di un cluster, è possibile scegliere di riavviare periodicamente il cluster per applicare gli aggiornamenti di sicurezza, oppure creare un'operazione di bootstrap per personalizzare l'installazione dei pacchetti e degli aggiornamenti. È anche possibile scegliere di provare e quindi installare determinati aggiornamenti di sicurezza sulle istanze del cluster in esecuzione. Per ulteriori informazioni, consulta Utilizzo dell'AMI Amazon Linux predefinita per Amazon EMR. Tieni presente che la configurazione di rete deve consentire l'uscita HTTP e HTTPS verso i repository Linux in Amazon S3, altrimenti gli aggiornamenti di sicurezza non avranno esito positivo.

AWS Identity and Access Management con Amazon EMR

AWS Identity and Access Management (IAM) è un AWS servizio che aiuta un amministratore a controllare in modo sicuro l'accesso alle AWS risorse. Gli amministratori IAM controllano chi è authenticated (autenticato) (accesso effettuato) e authorized (autorizzato) (dispone di autorizzazioni) a utilizzare risorse Amazon EMR. Le identità IAM includono utenti, gruppi e ruoli. Un ruolo IAM è simile a un utente IAM, ma non è associato a una persona specifica e deve essere assunto da qualsiasi utente che necessiti di autorizzazioni. Per ulteriori informazioni, consulta Amazon AWS Identity and Access Management EMR. Amazon EMR utilizza più ruoli IAM per aiutarti a implementare i controlli di accesso per i cluster Amazon EMR. IAM è un AWS servizio che puoi utilizzare senza costi aggiuntivi.

  • Ruolo IAM per Amazon EMR (ruolo EMR): controlla in che modo il servizio Amazon EMR è in grado di accedere ad altri per tuo Servizi AWS conto, ad esempio il provisioning di istanze Amazon EC2 all'avvio del cluster Amazon EMR. Per ulteriori informazioni, consulta Configurare i ruoli del servizio IAM per le autorizzazioni e le risorse di Amazon EMR. Servizi AWS

  • Ruolo IAM per le istanze EC2 del cluster (profilo dell'istanza EC2): un ruolo assegnato a ogni istanza EC2 nel cluster Amazon EMR all'avvio dell'istanza. I processi applicativi eseguiti sul cluster utilizzano questo ruolo per interagire con altri Servizi AWS, come Amazon S3. Per ulteriori informazioni, consulta il ruolo IAM per le istanze EC2 del cluster.

  • Ruolo IAM per le applicazioni (ruolo di runtime): un ruolo IAM che puoi specificare quando invii un lavoro o una query a un cluster Amazon EMR. Il job o la query che invii al tuo cluster Amazon EMR utilizza il ruolo di runtime per accedere alle AWS risorse, come gli oggetti in Amazon S3. Puoi specificare i ruoli di runtime con Amazon EMR per i processi Spark e Hive. Utilizzando i ruoli di runtime, puoi isolare i job in esecuzione sullo stesso cluster utilizzando ruoli IAM diversi. Per ulteriori informazioni, consulta Utilizzo del ruolo IAM come ruolo di runtime con Amazon EMR.

Le identità della forza lavoro si riferiscono agli utenti che creano o gestiscono carichi di lavoro in. AWS Amazon EMR fornisce supporto per le identità della forza lavoro con quanto segue:

  • AWS L'IAM identity center (Idc) è consigliato Servizio AWS per gestire l'accesso degli utenti alle risorse. AWS È un unico posto in cui puoi assegnare le identità della tua forza lavoro, un accesso coerente a più AWS account e applicazioni. Amazon EMR supporta le identità della forza lavoro attraverso una propagazione affidabile delle identità. Grazie a una funzionalità affidabile di propagazione delle identità, un utente può accedere all'applicazione e tale applicazione può passare l'identità dell'utente a un altro utente Servizi AWS per autorizzare l'accesso a dati o risorse. Per ulteriori informazioni, consulta Enabling support for AWS IAM identity center with Amazon EMR.

    Lightweight Directory Access Protocol (LDAP) è un protocollo applicativo standard di settore aperto, indipendente dal fornitore, per l'accesso e la gestione di informazioni su utenti, sistemi, servizi e applicazioni sulla rete. LDAP è comunemente usato per l'autenticazione degli utenti su server di identità aziendale come Active Directory (AD) e OpenLDAP. Abilitando LDAP con i cluster EMR, consentite agli utenti di utilizzare le credenziali esistenti per autenticare e accedere ai cluster. Per ulteriori informazioni, consulta Abilitazione del supporto per LDAP con Amazon EMR.

    Kerberos è un protocollo di autenticazione di rete progettato per fornire un'autenticazione avanzata per client/server le applicazioni utilizzando la crittografia a chiave segreta. Quando usi Kerberos, Amazon EMR configura Kerberos per le applicazioni, i componenti e i sottosistemi che installa nel cluster in modo che siano autenticati tra loro. Per accedere a un cluster con Kerberos configurato, deve essere presente un kerberos principal nel Kerberos Domain Controller (KDC). Per ulteriori informazioni, consulta Abilitare il supporto per Kerberos con Amazon EMR.

Single-tenant e cluster multi-tenant

Per impostazione predefinita, un cluster è configurato per una singola tenancy con il profilo dell'istanza EC2 come identità IAM. In un cluster a tenant singolo, ogni job ha pieno e completo accesso al cluster e l'accesso a tutte le Servizi AWS risorse viene eseguito sulla base del profilo dell'istanza EC2. In un cluster multi-tenant, i tenant sono isolati l'uno dall'altro e non hanno accesso completo e completo ai cluster e alle istanze EC2 del cluster. L'identità nei cluster multi-tenant è costituita dai ruoli di runtime o dagli identificativi della forza lavoro. In un cluster multi-tenant, puoi anche abilitare il supporto per il controllo granulare degli accessi (FGAC) tramite o Apache Ranger. AWS Lake Formation In un cluster con ruoli di runtime o FGAC abilitati, l'accesso al profilo dell'istanza EC2 è disabilitato anche tramite iptables.

Importante

Qualsiasi utente che abbia accesso a un cluster single-tenant può installare qualsiasi software sul sistema operativo (OS) Linux, modificare o rimuovere i componenti software installati da Amazon EMR e influire sulle istanze EC2 che fanno parte del cluster. Se vuoi assicurarti che gli utenti non possano installare o modificare le configurazioni di un cluster Amazon EMR, ti consigliamo di abilitare la multi-tenancy per il cluster. Puoi abilitare la multi-tenancy su un cluster abilitando il supporto per il ruolo di runtime, il centro di identità AWS IAM, Kerberos o LDAP.

Protezione dei dati

Con AWS, puoi controllare i tuoi dati utilizzando Servizi AWS strumenti per determinare in che modo i dati sono protetti e chi vi ha accesso. Servizi come AWS Identity and Access Management (IAM) consentono di gestire in modo sicuro l'accesso Servizi AWS e le risorse. AWS CloudTrail consente il rilevamento e il controllo. Amazon EMR semplifica la crittografia dei dati inattivi in Amazon S3 utilizzando chiavi gestite da te AWS o completamente gestite da te. Amazon EMR supporta anche l'abilitazione della crittografia per i dati in transito. Per ulteriori informazioni, consulta Crittografare i dati a riposo e in transito.

Controllo dell'accesso ai dati

Con il controllo dell'accesso ai dati, puoi controllare a quali dati può accedere un'identità IAM o un'identità della forza lavoro. Amazon EMR supporta i seguenti controlli di accesso:

  • Policy IAM basate sull'identità: gestisci le autorizzazioni per i ruoli IAM che usi con Amazon EMR. Le policy IAM possono essere combinate con i tag per controllare l'accesso cluster per cluster. Per ulteriori informazioni, consulta AWS Identity and Access Management Amazon EMR.

  • AWS Lake Formationcentralizza la gestione delle autorizzazioni dei dati e ne semplifica la condivisione all'interno dell'organizzazione e all'esterno. Puoi usare Lake Formation per abilitare l'accesso granulare a livello di colonna ai database e alle tabelle del Glue Data Catalog. AWS Per ulteriori informazioni, consulta Using with Amazon EMR. AWS Lake Formation

  • L'accesso ad Amazon S3 consente di mappare le identità in directory come Active Directory, o principali AWS Identity and Access Management (IAM), ai set di dati in S3. Inoltre, l'accesso S3 garantisce l'identità dell'utente finale del registro e l'applicazione utilizzata per accedere ai dati S3 in. AWS CloudTrail Per ulteriori informazioni, consulta Utilizzo delle autorizzazioni di accesso di Amazon S3 con Amazon EMR.

  • Apache Ranger è un framework per abilitare, monitorare e gestire una sicurezza completa dei dati su tutta la piattaforma Hadoop. Amazon EMR supporta il controllo granulare degli accessi basato su Apache Ranger per Apache Hive Metastore e Amazon S3. Per ulteriori informazioni, consulta Integrare Apache Ranger con Amazon EMR. https://docs.aws.amazon.com/emr/latest/ManagementGuide/emr-ranger.html