Assegna e gestisci gli utenti di EMR Studio

Quando si utilizzaConfigura la modalità di IAM autenticazione per Amazon EMR Studio, è necessario consentire l'CreateStudioPresignedUrlazione nella politica IAM delle autorizzazioni di un utente e limitare l'utente a un particolare Studio. È possibile includere CreateStudioPresignedUrl nell'Autorizzazioni utente per la modalità di autenticazione IAM o usare una policy separata.

Per limitare un utente a uno Studio (o a un insieme di Studios), puoi utilizzare il controllo degli accessi basato sugli attributi (ABAC) o specificare l'Amazon Resource Name (ARN) di uno Studio nell'Resourceelemento della politica delle autorizzazioni.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

Quando si assegna un utente o un gruppo a uno EMR Studio, si specifica una politica di sessione che definisce autorizzazioni dettagliate, come la possibilità di creare un nuovo EMR cluster, per quell'utente o gruppo. Amazon EMR memorizza queste mappature delle policy di sessione. È possibile aggiornare le policy di sessione a un utente o a un gruppo dopo l'assegnazione.

Per assegnare un utente o un gruppo a uno EMR Studio utilizzando AWS CLI

Inserisci valori personalizzati per i seguenti argomenti create-studio-session-mapping. Per ulteriori informazioni sul comando create-studio-session-mapping, consulta la Guida di riferimento ai comandi della AWS CLI .

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

Utilizza il comando get-studio-session-mapping per verificare la nuova assegnazione. Replace (Sostituisci) <example-identity-name> con il nome IAM dell'Identity Center dell'utente o del gruppo che hai aggiornato.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Per aggiornare le autorizzazioni di utenti o gruppi quando utilizzi la modalità di IAM autenticazione, utilizza IAM per modificare le politiche di IAM autorizzazione associate alle tue IAM identità (utenti, gruppi o ruoli).

Per ulteriori informazioni, consulta Autorizzazioni utente per la modalità di autenticazione IAM.

Per aggiornare le autorizzazioni di EMR Studio per un utente o un gruppo utilizzando AWS CLI

Inserisci valori personalizzati per i seguenti argomenti update-studio-session-mappings. Per ulteriori informazioni sul comando update-studio-session-mappings, consulta la Guida di riferimento ai comandi della AWS CLI .

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

Utilizza il comando get-studio-session-mapping per verificare la nuova assegnazione della policy di sessione. Replace (Sostituisci) <example-identity-name> con il nome IAM dell'Identity Center dell'utente o del gruppo che hai aggiornato.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Per rimuovere un utente o un gruppo da uno EMR Studio quando si utilizza la modalità di IAM autenticazione, è necessario revocare l'accesso dell'utente allo Studio riconfigurando la politica delle autorizzazioni dell'utente. IAM

Nella politica di esempio seguente, supponiamo di avere uno EMR Studio con la coppia chiave-valore del tag. Team = Quality Assurance Secondo la policy, l'utente può accedere a Studio taggati con la chiave Team il cui valore è uguale a Data Analytics o Quality Assurance. Per rimuovere l'utente dallo Studio taggato con Team = Quality Assurance, rimuovi Quality Assurance dall'elenco dei valori dei tag.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

Per rimuovere un utente o un gruppo da EMR uno Studio utilizzando AWS CLI

Inserisci valori personalizzati per i seguenti argomenti delete-studio-session-mapping. Per ulteriori informazioni sul comando delete-studio-session-mapping, consulta la Guida di riferimento ai comandi della AWS CLI .

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \