EMRStudio 사용자 할당 및 관리

를 사용할 Amazon EMR 스튜디오용 IAM 인증 모드 설정 때는 사용자의 IAM 권한 정책에서 CreateStudioPresignedUrl 작업을 허용하고 사용자를 특정 Studio로 제한해야 합니다. IAM 인증 모드의 사용자 권한에서 CreateStudioPresignedUrl을 포함하거나 별도의 정책을 사용할 수 있습니다.

사용자를 스튜디오 (또는 스튜디오 세트) 로 제한하려면 속성 기반 액세스 제어 (ABAC) 를 사용하거나 권한 정책의 Resource 요소에 스튜디오의 Amazon Resource Name (ARN) 을 지정할 수 있습니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

EMRStudio에 사용자 또는 그룹을 할당할 때는 해당 사용자 또는 그룹에 대한 세분화된 권한 (예: 새 EMR 클러스터 생성 기능) 을 정의하는 세션 정책을 지정합니다. Amazon은 이러한 세션 정책 매핑을 EMR 저장합니다. 할당 후 사용자 또는 그룹의 세션 정책을 업데이트할 수 있습니다.

를 사용하여 EMR Studio에 사용자 또는 그룹을 할당하려면 AWS CLI

다음 create-studio-session-mapping 인수에 고유한 값을 입력합니다. create-studio-session-mapping 명령에 대한 자세한 내용은 AWS CLI 명령 참조를 참조하세요.

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

get-studio-session-mapping 명령을 사용하여 새 할당을 확인합니다. Replace <example-identity-name> 업데이트한 사용자 또는 그룹의 IAM ID 센터 이름과 함께.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

IAM인증 모드를 사용할 때 사용자 또는 그룹 권한을 IAM 업데이트하려면 IAM ID (사용자, 그룹 또는 역할) 에 연결된 IAM 권한 정책을 사용하여 변경하십시오.

자세한 내용은 IAM 인증 모드의 사용자 권한 단원을 참조하십시오.

를 사용하여 사용자 또는 그룹의 EMR Studio 권한을 업데이트하려면 AWS CLI

다음 update-studio-session-mappings 인수에 고유한 값을 입력합니다. update-studio-session-mappings 명령에 대한 자세한 내용은 AWS CLI 명령 참조를 참조하세요.

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

get-studio-session-mapping 명령을 사용하여 새 세션 정책 할당을 확인합니다. Replace <example-identity-name> 업데이트한 사용자 또는 그룹의 IAM Identity Center 이름을 포함합니다.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

IAM인증 모드를 사용할 때 EMR Studio에서 사용자 또는 그룹을 제거하려면 사용자의 권한 정책을 재구성하여 Studio에 대한 사용자의 액세스 권한을 취소해야 합니다. IAM

다음 예제 정책에서는 태그 키-값 쌍이 있는 EMR Studio가 있다고 가정해 보겠습니다. Team = Quality Assurance 정책에 따라 사용자는 값이 Data Analytics 또는 Quality Assurance와 같은 Team 키로 태그가 지정된 Studios에 액세스할 수 있습니다. Team = Quality Assurance 태그가 지정된 Studio에서 사용자를 제거하려면 태그 값 목록에서 Quality Assurance를 제거합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

를 사용하여 EMR Studio에서 사용자 또는 그룹을 제거하려면 AWS CLI

다음 delete-studio-session-mapping 인수에 고유한 값을 입력합니다. delete-studio-session-mapping 명령에 대한 자세한 내용은 AWS CLI 명령 참조를 참조하세요.

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \