Amazon S3 へのEMRFSリクエストのIAMロールを設定する

IAM ロールの信頼ポリシーを更新するには

でIAMコンソールを開きますhttps://console.aws.amazon.com/iam/。

1. [ロール] を選択して [検索] にロール名を入力したら、その [ロール名] を選択します。

2. [Trust relationships] (信頼関係)、[Edit trust relationship] (信頼関係の編集) の順に選択します。

3. 上記のガイドラインに従って、[ポリシードキュメント] に応じて信頼ステートメントを追加し、[信頼ポリシーの更新] を選択します。

コンソールを使用して Amazon S3 へのEMRFSリクエストのIAMロールを指定するには

1. ロールのマッピングを指定するセキュリティ設定を作成します。

   1. Amazon EMRコンソールで、セキュリティ設定 、作成 を選択します。

   2. セキュリティ設定の [Name (名前)] を入力します。この名前を使用して、クラスターの作成時に使用するセキュリティ設定を指定します。

   3. Amazon S3 へのEMRFSリクエストにIAMロールを使用するを選択します。

   4. 適用するIAMロールを選択し、アクセスの基準で、リストから識別子タイプ (ユーザー 、グループ 、または S3 プレフィックス ) を選択し、対応する識別子を入力します。複数の識別子を使用する場合は、カンマでスペースを入れずに区切ります。各識別子の種類の詳細については、下記の「JSON configuration reference」を参照してください。

   5. [Add role (ロールの追加)] を選択して､前の手順で説明したように追加のロールマッピングを設定します。

   6. 必要に応じて他のセキュリティ設定オプションを設定し、[Create (作成)] を選択します。詳細については、「Amazon EMRコンソールまたは を使用してセキュリティ設定を作成する AWS CLI」を参照してください。

2. クラスターの作成時に上記で作成したセキュリティ設定を指定します。詳細については、「Amazon EMRクラスターのセキュリティ設定を指定する」を参照してください。

を使用して Amazon S3 へのEMRFSリクエストのIAMロールを指定するには AWS CLI

1. aws emr create-security-configuration コマンドを使用して、セキュリティ設定の名前とセキュリティ設定の詳細を JSON 形式で指定します。

   次のコマンド例は、EMRFS_Roles_Security_Configuration という名前のセキュリティ設定を作成します。これはファイル のJSON構造に基づいておりMyEmrfsSecConfig.json、コマンドが実行されるのと同じディレクトリに保存されます。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   次の MyEmrFsSecConfig.json ファイルの構造のガイドラインを使用します。他のセキュリティ設定オプションの構造と共に､この構造を指定することができます。詳細については、「Amazon EMRコンソールまたは を使用してセキュリティ設定を作成する AWS CLI」を参照してください。

   セキュリティ設定EMRFS内で JSON のカスタムIAMロールを指定するためのスニペットの例を次に示します。3 つの異なる識別子タイプのロールマッピングと、パラメータリファレンスを示します。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   パラメータ	説明
   "AuthorizationConfiguration":	必須。
   "EmrFsConfiguration":	必須。ロールマッピングが含まれます。
   "RoleMappings":	必須。1 つ以上のロールマッピング定義が含まれます。ロールのマッピングは、表示順に上から下に評価されます。ロールマッピングが Amazon S3 内のデータEMRFS呼び出しに対して true と評価された場合、それ以上のロールマッピングは評価されず、リクエストに指定されたIAMロールEMRFSが使用されます。ロールマッピングは、以下の必須パラメータで構成されます。
   "Role":	形式でIAMロールのARN識別子を指定しますarn:aws:iam::account-id:role/role-name。これは、Amazon S3 へのEMRFSリクエストがIdentifiers指定された のいずれかと一致する場合に Amazon がEMR引き受けるIAMロールです。 Amazon S3
   "IdentifierType":	次のいずれかを指定できます。 "User" は、識別子が 1 人以上の Hadoop ユーザーであることを指定します。これは Linux アカウントユーザーまたは Kerberos プリンシパルです。EMRFS リクエストが指定されたユーザーから発信された場合、IAMロールが引き受けられます。 "Prefix" は、識別子が Amazon S3 の場所であることを指定します。IAM ロールは、指定されたプレフィックスを持つ場所への呼び出しに対して引き受けられます。例えば、プレフィックス s3://mybucket/ は、 s3://mybucket/mydir および s3://mybucket/yetanotherdir に一致します。 "Group" は、識別子が 1 つ以上の Hadoop グループであることを指定します。リクエストが指定されたグループまたはグループのユーザーから発信された場合、IAMロールが引き受けられます。
   "Identifiers":	適切な識別子タイプの 1 つ以上の識別子を指定します。複数の識別子は、スペースを入れずにカンマで区切ります。

2. aws emr create-cluster コマンドを使用してクラスターを作成し、前のステップで作成したセキュリティ設定を指定します。

   次の例では、Hadoop アプリケーションがインストールされているデフォルトのコアでクラスターを作成します。クラスターは、上記のセキュリティ設定を として使用EMRFS_Roles_Security_ConfigurationしEC2、 --ec2-attributes パラメータの InstanceProfile引数を使用してEC2_Role_EMR_Restrict_S3指定された、、 のカスタム Amazon EMRロールも使用します。

   注記

   読みやすくするために、Linux 行連続文字 (\) が含まれています。Linux コマンドでは、これらは削除することも、使用することもできます。Windows の場合、削除するか、キャレット (^) に置き換えてください。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.3.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration