기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon EMR 콘솔 또는를 사용하여 보안 구성 생성 AWS CLI

이 주제에서는 Amazon EMR 콘솔 및를 사용하여 보안 구성을 생성하는 일반적인 절차를 설명한 다음 AWS CLI에 대한 암호화, 인증 및 IAM 역할로 구성된 파라미터에 대한 참조를 다룹니다EMRFS. 이 기능에 대한 자세한 내용은 다음 주제를 참조하세요.

데이터 암호화 구성

보안 구성에서 암호화를 구성하기 전에 암호화에 사용되는 키와 자격 증명을 생성합니다. 자세한 정보는 저장 데이터 암호화를 위한 키 제공 및 Amazon 암호화를 사용하여 전송 중인 데이터를 EMR 암호화하기 위한 인증서 제공 섹션을 참조하세요.

보안 구성을 생성할 때 미사용 데이터 암호화 및 전송 중 데이터 암호화라는 두 가지 암호화 옵션 세트를 지정합니다. 저장 데이터 암호화 옵션에는 EMRFS 및 로컬 디스크 암호화가 포함된 Amazon S3가 모두 포함됩니다. 전송 중 암호화 옵션을 사용하면 전송 계층 보안()을 지원하는 특정 애플리케이션에 대한 오픈 소스 암호화 기능을 사용할 수 있습니다TLS. 미사용 데이터 암호화 옵션과 전송 중 데이터 암호화 옵션을 함께 활성화하거나 개별적으로 활성화할 수 있습니다. 자세한 내용은 Amazon을 통해 저장 및 전송 중인 데이터 암호화 EMR 단원을 참조하십시오.

콘솔을 사용하여 암호화 옵션 지정

아래 지침에 따라 암호화에서 옵션을 선택합니다.

를 사용하여 암호화 옵션 지정 AWS CLI

다음 섹션에서는 샘플 시나리오를 사용하여 다양한 구성 및 키 공급자--security-configurationJSON에 맞게 잘 구성된 다음 JSON 파라미터 및 적절한 값에 대한 참조를 보여줍니다.

전송 중 데이터 암호화 옵션 예제

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": false,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		}
	}
}'				
				

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": false,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar",
				"CertificateProviderClass": "com.mycompany.MyCertProvider"
			}
		}
 	}
}'		

저장 데이터 암호화 옵션 예제

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": false,
		"EnableAtRestEncryption": true,
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "SSE-S3"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "AwsKms",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
 	}
}'				

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": true,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "arn:aws:s3:::MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "SSE-KMS",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "AwsKms",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
	}
}'

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": true,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "CSE-KMS",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "Custom",
				"S3Object": "arn:aws:s3:::artifacts/MyKeyProvider.jar",
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": "true",
		"EnableAtRestEncryption": "true",
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar", 
				"CertificateProviderClass": "com.mycompany.MyCertProvider"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "CSE-Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar", 
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
				},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar",
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
  	"EncryptionConfiguration": {
   		"AtRestEncryptionConfiguration": {
      	     	"S3EncryptionConfiguration": {
        			"EncryptionMode": "SSE-KMS",
        			"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012",
        			"Overrides": [
         				 {
           				 "BucketName": "amzn-s3-demo-bucket1",
            				"EncryptionMode": "SSE-S3"
          				},
          				{
            				"BucketName": "amzn-s3-demo-bucket2",
           				 "EncryptionMode": "CSE-KMS",
            				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
         				 },
         				 {
           				 "BucketName": "amzn-s3-demo-bucket3",
          				  "EncryptionMode": "SSE-KMS",
           				 "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
          				}
        					]
      							}
   						 	},
   		"EnableInTransitEncryption": false,
    		"EnableAtRestEncryption": true
  }
}'

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MyS3EncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "S3EncryptionConfiguration": {
                "EncryptionMode": "SSE-S3"
            }
        }
     }
}'   

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "LocalDiskEncryptionConfiguration": {
                "EncryptionKeyProviderType": "AwsKms",
                "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}'  

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "LocalDiskEncryptionConfiguration": {
                "EnableEbsEncryption": true,
                "EncryptionKeyProviderType": "AwsKms",
                "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}' 

아래 예제에서는 다음 시나리오를 설명합니다.

SSE-EMR-WAL 는 EMR WAL 암호화에 사용됩니다.

aws emr create-security-configuration --name "MySecConfig" \
    --security-configuration '{
        "EncryptionConfiguration": {
            "EMRWALEncryptionConfiguration":{ },
            "EnableInTransitEncryption":false, "EnableAtRestEncryption":false
        }
    }'

관련 암호화를 활성화하려는 경우 EnableInTransitEncryption 및 EnableAtRestEncryption은 여전히 true일 수 있습니다.

아래 예제에서는 다음 시나리오를 설명합니다.

aws emr create-security-configuration --name "MySecConfig" \
    --security-configuration '{
        "EncryptionConfiguration": {
            "EMRWALEncryptionConfiguration":{
                "AwsKmsKey":"arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
                },
            "EnableInTransitEncryption":false, "EnableAtRestEncryption":false
        }
    }'

관련 암호화를 활성화하려는 경우 EnableInTransitEncryption 및 EnableAtRestEncryption은 여전히 true일 수 있습니다.

JSON 암호화 설정에 대한 참조

다음 표에는 암호화 설정에 대한 JSON 파라미터가 나열되어 있으며 각 파라미터에 허용되는 값에 대한 설명이 나와 있습니다.

Kerberos 인증 구성

Kerberos 설정을 통한 보안 구성은 Kerberos 속성을 통해 생성된 클러스터에서만 사용할 수 있고, 그렇지 않을 경우 오류가 발생합니다. 자세한 내용은 Amazon에서의 인증에 Kerberos 사용 EMR 단원을 참조하십시오. Kerberos는 Amazon EMR 릴리스 버전 5.10.0 이상에서만 사용할 수 있습니다.

콘솔을 사용하여 Kerberos 설정 지정

다음 지침에 따라 Kerberos 인증에서 옵션을 선택합니다.

를 사용하여 Kerberos 설정 지정 AWS CLI

다음 참조 표는 보안 구성의 Kerberos 설정에 대한 JSON 파라미터를 보여줍니다. 구성에 대한 예시는 구성 예제 단원을 참조하세요.

Amazon S3에 대한 EMRFS 요청에 대한 IAM 역할 구성

IAM의 역할을 EMRFS 사용하면 Amazon S3의 EMRFS 데이터에 대해 다양한 권한을 제공할 수 있습니다. 액세스 요청에 지정한 식별자가 포함될 때 권한 부여에 사용되는 IAM 역할을 지정하는 매핑을 생성합니다. Hadoop 사용자, 역할 또는 Amazon S3 접두사가 식별자가 될 수 있습니다.

자세한 내용은 Amazon S3에 대한 EMRFS 요청에 대한 IAM 역할 구성 단원을 참조하십시오.

를 EMRFS 사용하기 위한 IAM 역할 지정 AWS CLI

다음은 보안 구성 EMRFS 내에서 JSON에 대한 사용자 지정 IAM 역할을 지정하는 예제 코드 조각입니다. 이 예제에서는 세 가지 식별자 유형에 대한 역할 매핑을 보여줍니다. 뒤이어 파라미터 참조가 나옵니다.

{
  "AuthorizationConfiguration": {
    "EmrFsConfiguration": {
      "RoleMappings": [{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
        "IdentifierType": "User",
        "Identifiers": [ "user1" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
        "IdentifierType": "Prefix",
        "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
        "IdentifierType": "Group",
        "Identifiers": [ "AdminGroup" ]
      }]
    }
  }
}

Amazon EC2 인스턴스에 대한 메타데이터 서비스 요청 구성

인스턴스 메타데이터는 실행 중인 인스턴스를 구성 또는 관리하는 데 사용될 수 있는 인스턴스 관련 데이터입니다. 다음 방법 중 하나를 사용하여 실행 중인 인스턴스에서 인스턴스 메타데이터에 액세스할 수 있습니다.

Amazon은 IMDSv1 및를 모두 EC2 지원하지만 IMDSv2Amazon은 Amazon EMR 5.23.1, 5.27.1, 5.32 이상 및 6.2 이상IMDSv2에서를 EMR 지원합니다. 이러한 릴리스에서 Amazon EMR 구성 요소는 모든 IMDS 호출IMDSv2에를 사용합니다. 애플리케이션 코드의 IMDS 호출의 경우 IMDSv1 및를 모두 사용하거나 추가 보안IMDSv2에만 사용하도록 IMDS를 IMDSv2구성할 수 있습니다. IMDSv2를 사용해야 하도록 지정하면 IMDSv1는 더 이상 작동하지 않습니다.

자세한 내용은 Amazon EC2 사용 설명서의 인스턴스 메타데이터 서비스 구성을 참조하세요.

AWS CLI를 사용하여 인스턴스 메타데이터 서비스 구성 지정

다음은 보안 구성 내에서 Amazon EC2 인스턴스 메타데이터 서비스(IMDS)를 지정하기 위한 예제 JSON 코드 조각입니다. 사용자 지정 보안 구성을 사용하는 것은 선택 사항입니다.

{
  "InstanceMetadataServiceConfiguration" : {
      "MinimumInstanceMetadataServiceVersion": integer,
      "HttpPutResponseHopLimit": integer
   }
}

콘솔을 사용하여 인스턴스 메타데이터 서비스 구성 지정

Amazon EMR 콘솔에서 클러스터를 시작할 때 클러스터에 IMDS 대한 사용을 구성할 수 있습니다.

자세한 내용은 Amazon EC2 사용 설명서의 인스턴스 메타데이터 서비스 구성을 참조하세요.

Amazon EC2 사용 설명서의 인스턴스 세부 정보 구성 및 인스턴스 메타데이터 서비스 구성을 참조하세요.