EMR Studio 사용자 할당 및 관리

Amazon EMR Studio에 대한 IAM 인증 모드 설정을 사용할 때는 사용자의 IAM 권한 정책에서 CreateStudioPresignedUrl 작업을 허용하고 사용자를 특정 Studio로 제한해야 합니다. IAM 인증 모드의 사용자 권한에서 CreateStudioPresignedUrl을 포함하거나 별도의 정책을 사용할 수 있습니다.

사용자를 Studio(또는 Studio 세트)로 제한하기 위해 ABAC(속성 기반 액세스 제어)를 사용하거나 권한 정책의 Resource 요소에 Studio의 Amazon 리소스 이름(ARN)을 지정할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

EMR Studio에 사용자 또는 그룹을 할당할 때 해당 사용자 또는 그룹에 대한 세분화된 권한(예: 새 EMR 클러스터 생성 기능)을 정의하는 세션 정책을 지정합니다. Amazon EMR은 이러한 세션 정책 매핑을 저장합니다. 할당 후 사용자 또는 그룹의 세션 정책을 업데이트할 수 있습니다.

AWS CLI를 사용하여 EMR Studio에 사용자 또는 그룹을 할당하는 방법

다음 create-studio-session-mapping 인수에 고유한 값을 입력합니다. create-studio-session-mapping 명령에 대한 자세한 내용은 AWS CLI 명령 참조를 참조하세요.

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

get-studio-session-mapping 명령을 사용하여 새 할당을 확인합니다. <example-identity-name>을 업데이트한 사용자 또는 그룹의 IAM Identity Center 이름으로 바꿉니다.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

IAM 인증 모드를 사용할 때 사용자 또는 그룹 권한을 업데이트하려면 IAM을 사용하여 IAM 자격 증명(사용자, 그룹 또는 역할)에 연결된 IAM 권한 정책을 변경합니다.

자세한 내용은 IAM 인증 모드의 사용자 권한 단원을 참조하십시오.

AWS CLI를 사용하여 사용자 또는 그룹의 EMR Studio 권한을 업데이트하는 방법

다음 update-studio-session-mappings 인수에 고유한 값을 입력합니다. update-studio-session-mappings 명령에 대한 자세한 내용은 AWS CLI 명령 참조를 참조하세요.

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

get-studio-session-mapping 명령을 사용하여 새 세션 정책 할당을 확인합니다. <example-identity-name>을 업데이트한 사용자 또는 그룹의 IAM Identity Center 이름으로 바꿉니다.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

IAM 인증 모드를 사용할 때 EMR Studio에서 사용자 또는 그룹을 제거하려면 사용자의 IAM 권한 정책을 재구성하여 Studio에 대한 사용자 액세스를 취소해야 합니다.

다음 정책 예제에서 태그 키-값 페어 Team = Quality Assurance가 있는 EMR Studio가 있다고 가정합니다. 정책에 따라 사용자는 값이 Data Analytics 또는 Quality Assurance와 같은 Team 키로 태그가 지정된 Studios에 액세스할 수 있습니다. Team = Quality Assurance 태그가 지정된 Studio에서 사용자를 제거하려면 태그 값 목록에서 Quality Assurance를 제거합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

AWS CLI를 사용하여 EMR Studio에서 사용자 또는 그룹을 제거하는 방법

다음 delete-studio-session-mapping 인수에 고유한 값을 입력합니다. delete-studio-session-mapping 명령에 대한 자세한 내용은 AWS CLI 명령 참조를 참조하세요.

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \