EMR Studio を作成および管理するための管理者権限

EMR Studio の管理者権限を持つポリシーを作成するには

1. IAM 「ポリシーの作成」の手順に従って、次のいずれかの例を使用してポリシーを作成します。必要なアクセス許可は、EMRStudio の認証モードによって異なります。

   次の項目に独自の値を挿入します。

   • 置換 <your-resource-ARN＞ は、ステートメントがユースケースの対象とするオブジェクトの Amazon リソースネーム (ARN) を指定します。

   • 置換 <region> Studio AWS リージョン を作成する予定の のコード。

   • 置換 <aws-account_id> Studio の AWS アカウントの ID を に指定します。

   • 置換 <EMRStudio-Service-Role> また、<EMRStudio-User-Role> EMR Studio サービスロール と EMR Studio ユーザーロール の名前。

   例 ポリシーの例: IAM認証モードを使用する場合の管理者アクセス許可

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Resource": "arn:aws:elasticmapreduce:<region>:<aws-account-id>:studio/*",
               "Action": [
                   "elasticmapreduce:CreateStudio",
                   "elasticmapreduce:DescribeStudio",
                   "elasticmapreduce:DeleteStudio"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": "<your-resource-ARN>",
               "Action": [
                   "elasticmapreduce:ListStudios"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:iam::<aws-account-id>:role/<EMRStudio-Service-Role>"
               ],
               "Action": "iam:PassRole"
           }
       ]
   }

   例 ポリシーの例: IAM Identity Center 認証モードを使用する場合の管理者権限

   注記

   Identity Center および Identity Center ディレクトリは、IAMポリシーステートメントのリソース要素ARNでの の指定をサポートAPIsしていません。IAM Identity Center および IAM Identity Center Directory へのアクセスを許可するには、以下のアクセス許可で Identity Center アクションのすべてのリソース「Resource"*IAM」を指定します。詳細については、IAM「Identity Center Directory のアクション、リソース、および条件キー」を参照してください。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Resource": "arn:aws:elasticmapreduce:<region>:<aws-account-id>:studio/*",
               "Action": [
                   "elasticmapreduce:CreateStudio",
                   "elasticmapreduce:DescribeStudio",
                   "elasticmapreduce:DeleteStudio",
                   "elasticmapreduce:CreateStudioSessionMapping",
                   "elasticmapreduce:GetStudioSessionMapping",
                   "elasticmapreduce:UpdateStudioSessionMapping",
                   "elasticmapreduce:DeleteStudioSessionMapping"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": "<your-resource-ARN>",
               "Action": [
                   "elasticmapreduce:ListStudios",
                   "elasticmapreduce:ListStudioSessionMappings"
               ]
           },
           {
               "Effect": "Allow",
               "Resource": [
                   "arn:aws:iam::<aws-account-id>:role/<EMRStudio-Service-Role>",
                   "arn:aws:iam::<aws-account-id>:role/<EMRStudio-User-Role>"
               ],
               "Action": "iam:PassRole"
           },
           {
               "Effect": "Allow",
               "Resource": "*",
               "Action": [
                   "sso:CreateApplication", 
                   "sso:PutApplicationAuthenticationMethod", 
                   "sso:PutApplicationGrant", 
                   "sso:PutApplicationAccessScope",
                   "sso:PutApplicationAssignmentConfiguration",
                   "sso:DescribeApplication", 
                   "sso:DeleteApplication", 
                   "sso:DeleteApplicationAuthenticationMethod", 
                   "sso:DeleteApplicationAccessScope", 
                   "sso:DeleteApplicationGrant", 
                   "sso:ListInstances", 
                   "sso:CreateApplicationAssignment", 
                   "sso:DeleteApplicationAssignment",
                   "sso:ListApplicationAssignments", 
                   "sso:DescribeInstance",
                   "sso:AssociateProfile",
                   "sso:DisassociateProfile",
                   "sso:GetProfile",
                   "sso:ListDirectoryAssociations",
                   "sso:ListProfiles",
                   "sso-directory:SearchUsers",
                   "sso-directory:SearchGroups",
                   "sso-directory:DescribeUser",
                   "sso-directory:DescribeGroup",
                   "organizations:DescribeOrganization",
                   "organizations:ListDelegatedAdministrators",
                   "sso:CreateInstance",
                   "sso:DescribeRegisteredRegions",
                   "sso:GetSharedSsoConfiguration",
                   "iam:ListPolicies"
               ]
           }
       ]
   }

2. ID IAM (ユーザー、ロール、またはグループ) にポリシーをアタッチします。手順については、IAM「ID アクセス許可の追加と削除」を参照してください。