Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esempi di policy per sottoreti private che accedono ad Amazon S3

Quando si avvia un cluster Amazon EMR in una sottorete privata, è necessario fornire un percorso verso Amazon S3. Per impostazione predefinita, un endpoint gateway per Amazon S3 consente l'accesso a tutti i bucket. Puoi creare una policy sugli endpoint VPC per limitare l'accesso a bucket specifici; in tal caso, dovrai aggiungere dichiarazioni di policy che consentano l'accesso agli specifici bucket S3 richiesti da Amazon EMR. Per ulteriori informazioni sugli endpoint Amazon S3, consulta Gateway endpoints for Amazon S3. https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-s3.html

Spetta a te determinare le restrizioni della policy che soddisfano le esigenze aziendali. Questa pagina descrive i bucket richiesti da Amazon EMR per avviare correttamente un cluster, seguiti da un esempio di policy sugli endpoint VPC che consente l'accesso a tali bucket.

Bucks richiesti

Repository AMI Amazon Linux

Tutti i cluster Amazon EMR richiedono l'accesso ai repository Amazon Linux. Gli ARN specifici del bucket dipendono dalla versione di Amazon Linux utilizzata, che dipende dalla versione di Amazon EMR utilizzata:

Repository Amazon EMR

Amazon EMR 5.22.0 e versioni successive richiedono l'accesso al bucket del repository EMR. arn:aws:s3:::repo.region.emr.amazonaws.com

Amazon EMR 8.0.0 e versioni successive e Amazon EMR Spark 8.0.0 e versioni successive richiedono l'accesso ai bucket di dati delle istanze EMR e. arn:aws:s3:::aws157-instance-data-0-prod-region arn:aws:s3:::aws157-instance-data-1-prod-region

Nella regione ap-southeast-2, questi bucket sono invece denominati e. arn:aws:s3:::aws157-instance-data-bucket-0-prod-ap-southeast-2 arn:aws:s3:::aws157-instance-data-bucket-1-prod-ap-southeast-2

Registrazione dei log

Se abiliti la registrazione del cluster, avrai bisogno delle autorizzazioni PUT per il bucket specificato come destinazione del log durante la creazione del cluster, nonché per il bucket dei log di sistema. Nella regione us-east-1, il bucket ARN èarn:aws:s3:::aws157-logs-prod; per tutte le altre regioni, il bucket ARN è. arn:aws:s3:::aws157-logs-prod-region

Interfacce utente delle applicazioni persistenti

Con Amazon EMR 5.25.0 o versioni successive, per abilitare l'accesso con un clic alle interfacce utente persistenti delle applicazioni, devi consentire ad Amazon EMR di accedere al bucket di sistema che raccoglie i log delle applicazioni,. arn:aws:s3:::prod.region.appinfo.src Per ulteriori informazioni, consulta Visualizzare le interfacce utente delle applicazioni persistenti in Amazon EMR.

Policy di esempio

La seguente policy di esempio fornisce le autorizzazioni necessarie per avviare un cluster Amazon EMR 8.0.0 in una sottorete privata nella regione us-east-2, con la registrazione e le interfacce utente delle applicazioni permanenti abilitate.

{
  "Version":"2012-10-17", 
  "Statement": [
    {
      "Sid": "AmazonLinux2023AMIRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::al2023-repos-us-east-2-de612dc2/*"
      ]
    },
    {
      "Sid": "EmrRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::repo.us-east-2.emr.amazonaws.com/*",
        "arn:aws:s3:::aws157-instance-data-0-prod-us-east-2/*",
        "arn:aws:s3:::aws157-instance-data-1-prod-us-east-2/*"
      ]
    },
    {
      "Sid": "EnableClusterLogs",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:Put*"
      ],
      "Resource": [
        "arn:aws:s3:::aws157-logs-prod-us-east-2/*",
        "arn:aws:s3:::my-logs-bucket/*"
      ]
    },
    {
      "Sid": "EnableApplicationHistory",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:Put*",
        "s3:Get*",
        "s3:Create*",
        "s3:Abort*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::prod.us-east-2.appinfo.src/*"
      ]
    }
  ]
}