EMR Studio ユーザーの割り当てと管理

を使用する場合はAmazon EMR Studio のIAM認証モードを設定する、ユーザーのIAMアクセス許可ポリシーで CreateStudioPresignedUrlアクションを許可し、ユーザーを特定の Studio に制限する必要があります。IAM 認証モードのユーザーアクセス許可 に CreateStudioPresignedUrl を含めるか、別のポリシーを使用できます。

ユーザーを Studio (または Studio のセット) に制限するには、属性ベースのアクセスコントロール (ABAC) を使用するか、アクセス許可ポリシーの Resource要素で Studio の Amazon リソースネーム (ARN) を指定します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

EMR Studio にユーザーまたはグループを割り当てるときは、そのユーザーまたはグループに対して新しいEMRクラスターを作成する機能など、きめ細かなアクセス許可を定義するセッションポリシーを指定します。Amazon は、これらのセッションポリシーマッピングEMRを保存します。ユーザーまたはグループのセッションポリシーは、割り当て後に更新できます。

を使用して EMR Studio にユーザーまたはグループを割り当てるには AWS CLI

次の create-studio-session-mapping 引数に独自の値を挿入します。create-studio-session-mapping コマンドの詳細については、「AWS CLI Command Reference」を参照してください。

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

get-studio-session-mapping コマンドを使用して、新しい割り当てを確認します。置換 <example-identity-name> 更新したユーザーまたはグループの IAM Identity Center 名を入力します。

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

IAM 認証モードを使用するときにユーザーまたはグループのアクセス許可を更新するには、 IAMを使用して、ID (ユーザー、グループ、またはロール) IAM にアタッチされたIAMアクセス許可ポリシーを変更します。

詳細については、「IAM 認証モードのユーザーアクセス許可」を参照してください。

を使用してユーザーまたはグループの EMR Studio アクセス許可を更新するには AWS CLI

次の update-studio-session-mappings 引数に独自の値を挿入します。update-studio-session-mappings コマンドの詳細については、「AWS CLI Command Reference」を参照してください。

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

get-studio-session-mapping コマンドを使用して、新しいセッションポリシーの割り当てを確認します。置換 <example-identity-name> 更新したユーザーまたはグループの IAM Identity Center 名を入力します。

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

IAM 認証モードを使用するときに EMR Studio からユーザーまたはグループを削除するには、ユーザーのアクセスIAM許可ポリシーを再設定して、Studio へのユーザーのアクセスを取り消す必要があります。

次のポリシー例では、タグキーと値のペア を持つ EMR Studio があると仮定しますTeam = Quality Assurance。ポリシーに従って、ユーザーは、値が Data Analytics または Quality Assurance のいずれかに等しい Team キーでタグ付けされた Studio にアクセスできます。Team = Quality Assurance でタグ付けされた Studio からユーザーを削除するには、タグ値のリストから Quality Assurance を削除します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

を使用して EMR Studio からユーザーまたはグループを削除するには AWS CLI

次の delete-studio-session-mapping 引数に独自の値を挿入します。delete-studio-session-mapping コマンドの詳細については、「AWS CLI Command Reference」を参照してください。

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \