EMR で Amazon のクラスターアクセスを有効にする EKS

以下の手動ステップを使用して、 EMRで Amazon のクラスターアクセスを有効にすることもできますEKS。

1. 特定の名前空間に Kubernetes ロールを作成する

   Amazon EKS 1.22 - 1.29

   Amazon EKS1.22 ～ 1.29 では、次のコマンドを実行して、特定の名前空間に Kubernetes ロールを作成します。このロールは、 EMR上の Amazon に必要なRBACアクセス許可を付与しますEKS。

   namespace=my-namespace
   cat - >>EOF | kubectl apply -f - >>namespace "${namespace}"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: emr-containers
     namespace: ${namespace}
   rules:
     - apiGroups: [""]
       resources: ["namespaces"]
       verbs: ["get"]
     - apiGroups: [""]
       resources: ["serviceaccounts", "services", "configmaps", "events", "pods", "pods/log"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["create", "patch", "delete", "watch"]
     - apiGroups: ["apps"]
       resources: ["statefulsets", "deployments"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["batch"]
       resources: ["jobs"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["extensions", "networking.k8s.io"]
       resources: ["ingresses"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["rbac.authorization.k8s.io"]
       resources: ["roles", "rolebindings"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["persistentvolumeclaims"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete",  "deletecollection", "annotate", "patch", "label"]
   EOF
         

   Amazon EKS 1.21 and below

   Amazon EKS1.21 以下では、次のコマンドを実行して、特定の名前空間に Kubernetes ロールを作成します。このロールは、 EMR上の Amazon に必要なRBACアクセス許可を付与しますEKS。

   namespace=my-namespace
   cat - >>EOF | kubectl apply -f - >>namespace "${namespace}"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: emr-containers
     namespace: ${namespace}
   rules:
     - apiGroups: [""]
       resources: ["namespaces"]
       verbs: ["get"]
     - apiGroups: [""]
       resources: ["serviceaccounts", "services", "configmaps", "events", "pods", "pods/log"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["create", "patch", "delete", "watch"]
     - apiGroups: ["apps"]
       resources: ["statefulsets", "deployments"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["batch"]
       resources: ["jobs"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["extensions"]
       resources: ["ingresses"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["rbac.authorization.k8s.io"]
       resources: ["roles", "rolebindings"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["persistentvolumeclaims"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
   EOF
         

2. 名前空間にスコープが設定された Kubernetes ロールバインディングを作成する

   次のコマンドを実行して、特定の名前空間に Kubernetes ロールバインディングを作成します。このロールバインディングは、前のステップで作成したロールに定義されたアクセス許可を、emr-containers という名前のユーザーに付与します。このユーザーは、 EMR で Amazon のサービスにリンクされたロールEKSを識別し、作成したロールで定義されたアクションを実行EKSすることを EMRで Amazon に許可します。

   namespace=my-namespace
   
   cat - <<EOF | kubectl apply -f - --namespace "${namespace}"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: emr-containers
     namespace: ${namespace}
   subjects:
   - kind: User
     name: emr-containers
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: Role
     name: emr-containers
     apiGroup: rbac.authorization.k8s.io
   EOF

3. Kubernetes aws-auth 設定マップを更新する

   次のいずれかのオプションを使用して、EKSサービスにリンクされた Amazon EMR on ロールを、前のステップで Kubernetes ロールにバインドされたemr-containersユーザーとマッピングできます。

   オプション 1: eksctl を使用する

   次のeksctlコマンドを実行して、Amazon EMR on EKSサービスにリンクされたロールをemr-containersユーザーにマッピングします。

   eksctl create iamidentitymapping \
       --cluster my-cluster-name \
       --arn "arn:aws:iam::my-account-id:role/AWSServiceRoleForAmazonEMRContainers" \
       --username emr-containers

   オプション 2: eksctl を使用しない

   1. 次のコマンドを実行して、テキストエディタで aws-auth 設定マップを開きます。

      kubectl edit -n kube-system configmap/aws-auth

      注記

      というエラーが表示された場合はError from server (NotFound): configmaps "aws-auth" not found、「Amazon EKSユーザーガイド」の「ユーザーロールの追加」のステップを参照して、在庫 を適用します ConfigMap。

   2. Amazon EMR on EKSサービスにリンクされたロールの詳細をConfigMap、 の mapRolesセクションの に追加しますdata。ファイルに存在しない場合は、このセクションを追加します。データの下で更新された mapRoles セクションは、次の例のようになります。

      apiVersion: v1
      data:
        mapRoles: |
          - rolearn: arn:aws:iam::<your-account-id>:role/AWSServiceRoleForAmazonEMRContainers
            username: emr-containers
          - ... <other previously existing role entries, if there's any>.

   3. ファイルを保存し、テキストエディタを終了します。