Amazon S3에 대한 EMRFS 요청의 IAM 역할 구성

IAM 역할의 신뢰 정책을 업데이트하는 방법

https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

1. Roles(역할)를 선택하고 Search(검색)에서 이름을 입력한 다음 Role name(역할 이름)을 선택합니다.

2. 신뢰 관계(Trust relationships), 신뢰 관계 편집(Edit trust relationship)을 차례대로 선택합니다.

3. 위 지침에 따라 정책 문서를 기준으로 신뢰 명령문을 추가하고 신뢰 정책 업데이트를 선택합니다.

콘솔을 사용하여 Amazon S3에 대한 EMRFS 요청의 IAM 역할을 지정하는 방법

1. 역할 매핑을 지정하는 보안 구성을 생성합니다.

   1. Amazon EMR 콘솔에서 보안 구성, 생성을 선택합니다.

   2. 보안 구성의 이름을 입력합니다. 클러스터를 생성할 때 이 이름을 사용하여 보안 구성을 지정합니다.

   3. Amazon S3에 대한 EMRFS 요청의 IAM 역할 사용을 선택합니다.

   4. 적용할 IAM 역할을 선택하고 액세스의 기준 아래에 있는 목록에서 식별자 유형(사용자, 그룹 또는 S3 접두사)을 선택한 후 해당 식별자를 입력합니다. 여러 식별자를 사용할 경우 공백 없이 쉼표로 구분합니다. 각 식별자 유형에 대한 자세한 내용은 아래 JSON configuration reference를 참조하세요.

   5. 역할 추가를 선택하여 이전 단계에서 설명한 추가 역할 매핑을 설정합니다.

   6. 다른 보안 구성 옵션을 적절히 설정하고 생성을 선택합니다. 자세한 내용은 Amazon EMR 콘솔 또는 AWS CLI를 사용하여 보안 구성 생성 단원을 참조하십시오.

2. 클러스터를 생성할 때 위에서 생성한 보안 구성을 지정합니다. 자세한 내용은 Amazon EMR 클러스터에 대한 보안 구성 지정 단원을 참조하십시오.

AWS CLI를 사용하여 Amazon S3에 대한 EMRFS 요청의 IAM 역할을 지정하는 방법

1. 보안 구성의 이름과 보안 구성 세부 정보를 JSON 형식으로 지정하여 aws emr create-security-configuration 명령을 사용합니다.

   아래 표시된 예시 명령에서는 이름이 EMRFS_Roles_Security_Configuration인 보안 구성을 생성합니다. 보안 구성은 MyEmrfsSecConfig.json 파일의 JSON 구조를 기반으로 하며, 명령이 실행되는 위치와 동일한 디렉터리에 저장됩니다.

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   MyEmrFsSecConfig.json 파일의 구조에 대해 다음 지침을 사용합니다. 이 구조를 다른 보안 구성 옵션에 대한 구조와 함께 지정할 수 있습니다. 자세한 내용은 Amazon EMR 콘솔 또는 AWS CLI를 사용하여 보안 구성 생성 단원을 참조하십시오.

   다음은 보안 구성에서 EMRFS에 대한 사용자 지정 IAM 역할을 지정하기 위한 예제 JSON 코드 조각입니다. 이 예제에서는 세 가지 식별자 유형에 대한 역할 매핑을 보여줍니다. 뒤이어 파라미터 참조가 나옵니다.

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   파라미터	설명
   "AuthorizationConfiguration":	필수 사항입니다.
   "EmrFsConfiguration":	필수 사항입니다. 역할 매핑을 포함합니다.
   "RoleMappings":	필수 사항입니다. 역할 매핑 정의를 하나 이상 포함. 역할 매핑은 표시되는 순서대로 위에서부터 아래로 평가됩니다. 역할 매핑이 Amazon S3 내 데이터에 대한 EMRFS 호출에 true로 평가되는 경우 역할 매핑은 추가로 평가되지 않으며 EMRFS가 해당 요청에 지정된 IAM 역할을 사용합니다. 역할 매핑은 다음과 같은 필수 파라미터로 구성됩니다.
   "Role":	IAM 역할의 ARN 식별자를 arn:aws:iam::account-id:role/role-name 형식으로 지정합니다. 이는 Amazon S3에 대한 EMRFS 요청이 지정된 Identifiers 중 하나와 일치하는 경우 Amazon EMR에서 수임하는 IAM 역할입니다.
   "IdentifierType":	다음 중 하나가 될 수 있습니다. "User"는 식별자가 하나 이상의 Hadoop 사용자이도록 지정하는데, Linux 계정 사용자 또는 Kerberos 보안 주체일 수 있습니다. EMRFS 요청이 지정된 사용자로 시작하는 경우 IAM 역할이 수임됩니다. "Prefix"에서는 식별자가 Amazon S3 위치가 되도록 지정합니다. 지정된 접두사가 있는 위치에 대한 호출에는 IAM 역할이 수임됩니다. 예를 들어 s3://amzn-s3-demo-bucket/접두사는 s3://amzn-s3-demo-bucket/mydir 및 s3://amzn-s3-demo-bucket/yetanotherdir과 일치합니다. "Group"은 식별자가 한 개 이상의 하둡 그룹이 되도록 지정합니다. 요청이 지정된 그룹의 사용자에서 시작되는 경우 IAM 역할이 수임됩니다.
   "Identifiers":	해당 식별자 유형의 하나 이상의 식별자를 지정합니다. 공백 없이 콤마로 구분된 여러 개의 식별자.

2. aws emr create-cluster 명령을 사용하여 클러스터를 생성하고 이전 단계에서 생성한 보안 구성을 지정합니다.

   다음 예제에서는 기본 코어 하둡 애플리케이션이 설치된 상태로 클러스터를 생성합니다. 클러스터에서는 위에서 생성한 보안 구성을 EMRFS_Roles_Security_Configuration으로 사용하며, EC2_Role_EMR_Restrict_S3 파라미터의 InstanceProfile 인수를 사용하여 지정되는 EC2의 사용자 지정 Amazon EMR 역할(--ec2-attributes)을 사용합니다.

   참고

   가독성을 위해 Linux 줄 연속 문자(\)가 포함됩니다. Linux 명령에 사용하거나 제외할 수 있습니다. Windows에서는 제외시키거나 캐럿(^)으로 바꿉니다.

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.3.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration