Autorizzazioni di amministratore per creare e gestire uno Studio EMR

Per creare una politica con autorizzazioni di amministratore per Studio EMR

1. Segui le istruzioni in Creazione IAM di politiche per creare una politica utilizzando uno dei seguenti esempi. Le autorizzazioni necessarie dipendono dalla modalità di autenticazione utilizzata per EMR Studio.

   Inserisci valori personalizzati per questi elementi:

   • Replace (Sostituisci) <your-resource- >ARN per specificare l'Amazon Resource Name (ARN) dell'oggetto o degli oggetti coperti dall'istruzione per i tuoi casi d'uso.

   • Replace (Sostituisci) <region> con il codice del Regione AWS luogo in cui intendi creare lo Studio.

   • Replace (Sostituisci) <aws-account_id> con l'ID dell' AWS account dello Studio.

   • Replace (Sostituisci) <EMRStudio-Service-Role> e <EMRStudio-User-Role> con i nomi del ruolo di servizio di EMR Studio e del ruolo utente di EMR Studio.

   Esempio Politica di esempio: autorizzazioni di amministratore quando si utilizza la modalità di IAM autenticazione

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Resource": "arn:aws:elasticmapreduce:<region>:<aws-account-id>:studio/*",
               "Action": [
                   "elasticmapreduce:CreateStudio",
                   "elasticmapreduce:DescribeStudio",
                   "elasticmapreduce:DeleteStudio"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": "<your-resource-ARN>",
               "Action": [
                   "elasticmapreduce:ListStudios"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:iam::<aws-account-id>:role/<EMRStudio-Service-Role>"
               ],
               "Action": "iam:PassRole"
           }
       ]
   }

   Esempio Politica di esempio: autorizzazioni di amministratore quando si utilizza la modalità di autenticazione IAM Identity Center

   Nota

   Le directory Identity Center e Identity Center APIs non supportano la specificazione di un elemento ARN nella risorsa di una dichiarazione di IAM policy. Per consentire l'accesso a IAM Identity Center e IAM Identity Center Directory, le seguenti autorizzazioni specificano tutte le risorse, «Resource» :"*», per IAM le azioni di Identity Center. Per ulteriori informazioni, vedere Azioni, risorse e chiavi di condizione per IAM Identity Center Directory.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Resource": "arn:aws:elasticmapreduce:<region>:<aws-account-id>:studio/*",
               "Action": [
                   "elasticmapreduce:CreateStudio",
                   "elasticmapreduce:DescribeStudio",
                   "elasticmapreduce:DeleteStudio",
                   "elasticmapreduce:CreateStudioSessionMapping",
                   "elasticmapreduce:GetStudioSessionMapping",
                   "elasticmapreduce:UpdateStudioSessionMapping",
                   "elasticmapreduce:DeleteStudioSessionMapping"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": "<your-resource-ARN>",
               "Action": [
                   "elasticmapreduce:ListStudios",
                   "elasticmapreduce:ListStudioSessionMappings"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:iam::<aws-account-id>:role/<EMRStudio-Service-Role>",
                   "arn:aws:iam::<aws-account-id>:role/<EMRStudio-User-Role>"
               ],
               "Action": "iam:PassRole"
           },
           {
               "Effect": "Allow",
               "Resource": "*",
               "Action": [
                   "sso:CreateApplication", 
                   "sso:PutApplicationAuthenticationMethod", 
                   "sso:PutApplicationGrant", 
                   "sso:PutApplicationAccessScope",
                   "sso:PutApplicationAssignmentConfiguration",
                   "sso:DescribeApplication", 
                   "sso:DeleteApplication", 
                   "sso:DeleteApplicationAuthenticationMethod", 
                   "sso:DeleteApplicationAccessScope", 
                   "sso:DeleteApplicationGrant", 
                   "sso:ListInstances", 
                   "sso:CreateApplicationAssignment", 
                   "sso:DeleteApplicationAssignment",
                   "sso:ListApplicationAssignments", 
                   "sso:DescribeInstance",
                   "sso:AssociateProfile",
                   "sso:DisassociateProfile",
                   "sso:GetProfile",
                   "sso:ListDirectoryAssociations",
                   "sso:ListProfiles",
                   "sso-directory:SearchUsers",
                   "sso-directory:SearchGroups",
                   "sso-directory:DescribeUser",
                   "sso-directory:DescribeGroup",
                   "organizations:DescribeOrganization",
                   "organizations:ListDelegatedAdministrators",
                   "sso:CreateInstance",
                   "sso:DescribeRegisteredRegions",
                   "sso:GetSharedSsoConfiguration",
                   "iam:ListPolicies"
               ]
           }
       ]
   }

2. Allega la policy alla tua IAM identità (utente, ruolo o gruppo). Per istruzioni, consulta Aggiungere e rimuovere le autorizzazioni di IAM identità.