Crie uma configuração de segurança com o console do Amazon EMR ou com o AWS CLI - Amazon EMR
Configurar criptografia de dadosConfigurar a autenticação KerberosConfigurar perfis do IAM para solicitações do EMRFS para o Amazon S3Configurar solicitações de serviço de metadados para instâncias da Amazon EC2

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Crie uma configuração de segurança com o console do Amazon EMR ou com o AWS CLI

Este tópico aborda os procedimentos gerais para criar uma configuração de segurança com o console do Amazon EMR e o AWS CLI, seguido por uma referência para os parâmetros que incluem criptografia, autenticação e funções do IAM para o EMRFS. Para obter mais informações sobre esses recursos, consulte os tópicos a seguir:

Para criar uma configuração de segurança usando o console

  1. Abra o console do Amazon EMR em https://console.aws.amazon.com /emr.

  2. No painel de navegação, escolha Security Configurations (Configurações de segurança), Create security configuration (Criar configuração de segurança).

  3. Digite um nome em Name (Nome) para a configuração de segurança.

  4. Escolha opções Criptografia e Autenticação conforme descrito nas seções abaixo e escolha Criar.

Para criar uma configuração de segurança usando o AWS CLI

  • Use o comando create-security-configuration conforme mostrado no exemplo a seguir.

    • ParaSecConfigName, especifique o nome da configuração de segurança. Trata-se do nome especificado por você ao criar um cluster que usa essa configuração de segurança.

    • Para SecConfigDef, especifique uma estrutura JSON em linha ou o caminho para um arquivo JSON local, como file://MySecConfig.json. Os parâmetros JSON definem opções de Criptografia, Perfis do IAM para acesso do EMRFS ao Amazon S3 e Autenticação conforme descrito nas seções abaixo.

    aws emr create-security-configuration --name "SecConfigName" --security-configuration SecConfigDef

Configurar criptografia de dados

Antes de configurar a criptografia em uma configuração de segurança, crie as chaves e os certificados usados na criptografia. Para ter mais informações, consulte Fornecimento de chaves para criptografia de dados em repouso e Fornecer certificados para criptografia de dados em trânsito com a criptografia do Amazon EMR.

Ao criar uma configuração de segurança, você especifica dois conjuntos de opções de criptografia: a criptografia de dados em repouso e a criptografia de dados em trânsito. As opções de criptografia de dados em repouso incluem o Amazon S3 com EMRFS e a criptografia do disco local. As opções de criptografia em trânsito habilitam os recursos de criptografia de código-fonte aberto para determinados aplicativos que oferecem suporte para Transport Layer Security (TLS). Opções em repouso e opções em trânsito podem ser habilitadas juntas ou separadamente. Para obter mais informações, consulte Criptografia de dados em repouso e em trânsito com o Amazon EMR.

nota

Quando você usa AWS KMS, cobranças são cobradas pelo armazenamento e uso de chaves de criptografia. Para obter mais informações, consulte Preços do AWS KMS.

Especificar opções de criptografia usando o console

Escolha as opções em Encryption (Criptografia) de acordo com as diretrizes a seguir.

  • Escolha opções em At rest encryption (Criptografia em repouso) para criptografar os dados armazenados no sistema de arquivos.

    Você pode optar por criptografar dados no Amazon S3, em discos locais ou em ambos.

  • Em Criptografia de dados do S3, para Modo de criptografia, escolha um valor para determinar como o Amazon EMR criptografa dados do Amazon S3 com o EMRFS.

    O que fazer em seguida depende do modo de criptografia escolhido:

  • Em Local disk encryption (Criptografia de disco local), escolha um valor para Key provider type (Tipo de provedor de chave).

    • AWS KMS key

      Selecione essa opção para especificar uma AWS KMS key. Em AWS KMS key, selecione uma chave. A chave deve existir na mesma região que o seu cluster do EMR. Para obter mais informações sobre requisitos de chaves, consulte Usando AWS KMS keys para criptografia.

      Criptografia do EBS

      Ao especificar AWS KMS como seu provedor de chaves, você pode ativar a criptografia do EBS para criptografar o dispositivo raiz e os volumes de armazenamento do EBS. Para habilitar essa opção, você deve conceder ao perfil de serviço do Amazon EMR EMR_DefaultRole permissões para usar a AWS KMS key especificada. Para obter mais informações sobre requisitos de chaves, consulte Habilitar a criptografia do EBS fornecendo permissões adicionais para chaves do KMS.

    • Personalizado

      Selecione essa opção para especificar um provedor de chaves personalizado. Em Objeto do S3, insira o local no Amazon S3, ou o ARN do Amazon S3, do arquivo JAR de provedor de chaves personalizado. Em Key provider class, insira o nome completo da classe declarada em seu aplicativo que implementa a EncryptionMaterialsProvider interface. O nome de classe fornecido aqui deve ser diferente do nome de classe fornecido ao CSE-Custom.

  • Escolha In-transit encryption (Criptografia em trânsito) para habilitar os recursos de criptografia TLS de código-fonte aberto para dados em trânsito. Escolha um tipo de provedor certificado em Certificate provider type (Tipo de provedor de certificados), de acordo com as seguintes diretrizes:

    • PEM

      Selecione essa opção para usar arquivos PEM que você fornece dentro de um arquivo zip. Dois artefatos são necessários dentro do arquivo zip: privateKey.pem e certificateChain.pem. Um terceiro arquivo, trustedCertificates.pem, é opcional. Para mais detalhes, consulte Fornecer certificados para criptografia de dados em trânsito com a criptografia do Amazon EMR. Em Objeto do S3, especifique o local no Amazon S3, ou o ARN do Amazon S3, do campo do arquivo zip.

    • Personalizado

      Selecione essa opção para especificar um provedor de certificados personalizado. Em Objeto do S3, insira o local do Amazon S3, ou o ARN do Amazon S3, do seu arquivo JAR de provedor de certificados personalizado. Em Key provider class, insira o nome completo de uma classe declarada em seu aplicativo que implementa a interface TLSArtifacts Provider.

Especificando opções de criptografia usando o AWS CLI

As seções a seguir usam os exemplos de cenários para ilustrar um JSON --security-configuration bem-formado para configurações e provedores de chaves diferentes, seguido de uma referência dos parâmetros JSON e valores apropriados.

Exemplo de opções de criptografia de dados em trânsito

O exemplo abaixo ilustra o seguinte cenário:


aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": false,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		}
	}
}'

O exemplo abaixo ilustra o seguinte cenário:


aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": false,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar",
				"CertificateProviderClass": "com.mycompany.MyCertProvider"
			}
		}
 	}
}'

Exemplo de opções de criptografia de dados em repouso

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está desabilitada, e a criptografia de dados em repouso está habilitada.

  • A SSE-S3 é usada para criptografia do Amazon S3.

  • A criptografia de disco local é usada AWS KMS como provedor de chaves.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": false,
		"EnableAtRestEncryption": true,
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "SSE-S3"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "AwsKms",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
 	}
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está habilitada e referencia um arquivo zip com certificados PEM no Amazon S3, usando o ARN.

  • A SSE-KMS é usada para criptografia do Amazon S3.

  • A criptografia de disco local é usada AWS KMS como provedor de chaves.


aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": true,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "arn:aws:s3:::MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "SSE-KMS",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "AwsKms",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
	}
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está habilitada e referencia um arquivo zip com certificados PEM no Amazon S3.

  • A CSE-KMS é usada para criptografia do Amazon S3.

  • A criptografia do disco local usa um provedor de chaves personalizado referenciado por seu ARN.


aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": true,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "CSE-KMS",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "Custom",
				"S3Object": "arn:aws:s3:::artifacts/MyKeyProvider.jar",
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está habilitada com um provedor de chaves personalizado.

  • A CSE-Custom é usada para dados do Amazon S3.

  • A criptografia do disco local usa um provedor de chaves personalizado.


aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": "true",
		"EnableAtRestEncryption": "true",
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar", 
				"CertificateProviderClass": "com.mycompany.MyCertProvider"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "CSE-Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar", 
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
				},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar",
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está desabilitada, e a criptografia de dados em repouso está habilitada.

  • A criptografia do Amazon S3 é habilitada com SSE-KMS.

  • Várias AWS KMS chaves são usadas, uma por cada bucket do S3, e exceções de criptografia são aplicadas a esses buckets individuais do S3.

  • A criptografia do disco local está desabilitada.

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
  	"EncryptionConfiguration": {
   		"AtRestEncryptionConfiguration": {
      	     	"S3EncryptionConfiguration": {
        			"EncryptionMode": "SSE-KMS",
        			"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012",
        			"Overrides": [
         				 {
           				 "BucketName": "amzn-s3-demo-bucket1",
            				"EncryptionMode": "SSE-S3"
          				},
          				{
            				"BucketName": "amzn-s3-demo-bucket2",
           				 "EncryptionMode": "CSE-KMS",
            				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
         				 },
         				 {
           				 "BucketName": "amzn-s3-demo-bucket3",
          				  "EncryptionMode": "SSE-KMS",
           				 "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
          				}
        					]
      							}
   						 	},
   		"EnableInTransitEncryption": false,
    		"EnableAtRestEncryption": true
  }
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está desabilitada, e a criptografia de dados em repouso está habilitada.

  • A criptografia do Amazon S3 está habilitada com SSE-S3, e a criptografia do disco local está desabilitada.

aws emr create-security-configuration --name "MyS3EncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "S3EncryptionConfiguration": {
                "EncryptionMode": "SSE-S3"
            }
        }
     }
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está desabilitada, e a criptografia de dados em repouso está habilitada.

  • A criptografia de disco local é ativada AWS KMS como provedor de chaves e a criptografia do Amazon S3 está desativada.

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "LocalDiskEncryptionConfiguration": {
                "EncryptionKeyProviderType": "AwsKms",
                "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}'

O exemplo abaixo ilustra o seguinte cenário:

  • A criptografia de dados em trânsito está desabilitada, e a criptografia de dados em repouso está habilitada.

  • A criptografia de disco local é ativada AWS KMS como provedor de chaves e a criptografia do Amazon S3 está desativada.

  • A criptografia do EBS está habilitada. 

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "LocalDiskEncryptionConfiguration": {
                "EnableEbsEncryption": true,
                "EncryptionKeyProviderType": "AwsKms",
                "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}'

O exemplo abaixo ilustra o seguinte cenário:

SSE-EMR-WAL é usado para criptografia EMR WAL

aws emr create-security-configuration --name "MySecConfig" \
    --security-configuration '{
        "EncryptionConfiguration": {
            "EMRWALEncryptionConfiguration":{ },
            "EnableInTransitEncryption":false, "EnableAtRestEncryption":false
        }
    }'

EnableInTransitEncryption e EnableAtRestEncryption ainda podem ser verdadeiros, se quiser habilitar a criptografia relacionada.

O exemplo abaixo ilustra o seguinte cenário:

  • SSE-KMS-WAL é usado para criptografia EMR WAL

  • A criptografia do lado do servidor é usada AWS Key Management Service como provedor principal

aws emr create-security-configuration --name "MySecConfig" \
    --security-configuration '{
        "EncryptionConfiguration": {
            "EMRWALEncryptionConfiguration":{
                "AwsKmsKey":"arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
                },
            "EnableInTransitEncryption":false, "EnableAtRestEncryption":false
        }
    }'

EnableInTransitEncryption e EnableAtRestEncryption ainda podem ser verdadeiros, se quiser habilitar a criptografia relacionada.

Referência JSON para configurações de criptografia

A tabela a seguir lista os parâmetros JSON para configurações de criptografia e fornece uma descrição dos valores aceitáveis para cada parâmetro.

Parameter Descrição
"EnableInTransitEncryption" : true | false Especifique true para habilitar a criptografia em trânsito e false para desabilitá-la. Se omitido, false é assumido, e a criptografia em trânsito é desabilitada.
"EnableAtRestEncryption": true | false Especifique true para habilitar a criptografia em repouso e false para desabilitá-la. Se omitido, false é assumido, e a criptografia em repouso é desabilitada.
Parâmetros de criptografia em trânsito
"InTransitEncryptionConfiguration" : Especifica uma coleção de valores usados para configurar a criptografia em trânsito quando EnableInTransitEncryption é true.
"CertificateProviderType": "PEM" | "Custom" Especifica se é necessário usar PEMcertificados referenciados com um arquivo compactado em zip ou um provedor de certificados Custom. Se PEM for especificado, S3Object deve ser uma referência à localização no Amazon S3 de um arquivo zip contendo os certificados. Se Personalizado for especificado, S3Object deverá ser uma referência à localização no Amazon S3 de um arquivo JAR, seguida por uma CertificateProviderClass entrada.
"S3Object" : "ZipLocation" | "JarLocation" Fornece a localização no Amazon S3 para um arquivo zip quando PEM especificado ou para um arquivo JAR quando Custom especificado. O formato pode ser um caminho (por exemplo, s3://MyConfig/artifacts/CertFiles.zip) ou um ARN (por exemplo, arn:aws:s3:::Code/MyCertProvider.jar)). Se for especificado um arquivo zip, ele deverá conter arquivos exatamente denominados privateKey.pem e certificateChain.pem. Um arquivo denominado trustedCertificates.pem é opcional.
"CertificateProviderClass" : "MyClassID" Obrigatório somente se Custom for especificado paraCertificateProviderType. MyClassIDespecifica um nome de classe completo declarado no arquivo JAR, que implementa a interface do TLSArtifacts provedor. Por exemplo, com.mycompany.MyCertProvider.
Parâmetros de criptografia em repouso
"AtRestEncryptionConfiguration" : Especifica uma coleção de valores para criptografia em repouso quando EnableAtRestEncryption estivertrue, incluindo criptografia Amazon S3 e criptografia de disco local.
Parâmetros de criptografia do Amazon S3
"S3EncryptionConfiguration" : Especifica uma coleção de valores usados para a criptografia do Amazon S3 com o Amazon EMR File System (EMRFS).
"EncryptionMode": "SSE-S3" | "SSE-KMS" | "CSE-KMS" | "CSE-Custom" Especifica o tipo de criptografia do Amazon S3 a ser usada. Se SSE-S3 for especificado, nenhum valor adicional de criptografia do Amazon S3 será necessário. Se um SSE-KMS ou CSE-KMS for especificado, um AWS KMS key ARN deverá ser especificado como o AwsKmsKey valor. Se CSE-Custom for especificado, os valores S3Object e EncryptionKeyProviderClass deverão ser especificados.
"AwsKmsKey" : "MyKeyARN" Necessário apenas quando SSE-KMS ou CSE-KMS é especificado para EncryptionMode. MyKeyARN deve ser um ARN totalmente especificado para uma chave (por exemplo, arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012).
"S3Object" : "JarLocation" Obrigatório somente quando CSE-Custom é especificado paraCertificateProviderType. JarLocationfornece a localização no Amazon S3 para um arquivo JAR. O formato pode ser um caminho (por exemplo, s3://MyConfig/artifacts/MyKeyProvider.jar) ou um ARN (por exemplo, arn:aws:s3:::Code/MyKeyProvider.jar)).
"EncryptionKeyProviderClass" : "MyS3KeyClassID" Obrigatório somente quando CSE-Custom é especificado paraEncryptionMode. MyS3KeyClassIDespecifica o nome completo de uma classe declarada no aplicativo que implementa a EncryptionMaterialsProvider interface; por exemplo,. com.mycompany.MyS3KeyProvider
Parâmetros de criptografia do disco local
"LocalDiskEncryptionConfiguration" Especifica o provedor de chaves e os valores correspondentes a serem usados para criptografia do disco local.
"EnableEbsEncryption": true | false Especifique true para ativar a criptografia do EBS. A criptografia do EBS criptografa o volume do dispositivo raiz do EBS e os volumes de armazenamento anexados. Para usar a criptografia EBS, você deve especificar AwsKms como seuEncryptionKeyProviderType.
"EncryptionKeyProviderType": "AwsKms" | "Custom" Especifica o provedor de chaves. Se AwsKms for especificado, um ARN da chave KMS deverá ser especificado como AwsKmsKey o valor. Se Custom for especificado, os valores S3Object e EncryptionKeyProviderClass deverão ser especificados.
"AwsKmsKey : "MyKeyARN" Obrigatório somente quando AwsKms é especificado paraType. MyKeyARNdeve ser um ARN totalmente especificado para uma chave (por exemplo,arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-456789012123).
"S3Object" : "JarLocation" Obrigatório somente quando CSE-Custom é especificado paraCertificateProviderType. JarLocationfornece a localização no Amazon S3 para um arquivo JAR. O formato pode ser um caminho (por exemplo, s3://MyConfig/artifacts/MyKeyProvider.jar) ou um ARN (por exemplo, arn:aws:s3:::Code/MyKeyProvider.jar)).

"EncryptionKeyProviderClass" : "MyLocalDiskKeyClassID"

 Obrigatório somente quando Custom é especificado paraType. MyLocalDiskKeyClassIDespecifica o nome completo de uma classe declarada no aplicativo que implementa a EncryptionMaterialsProvider interface; por exemplo,. com.mycompany.MyLocalDiskKeyProvider
Parâmetros de criptografia do EMR WAL
"EMRWALEncryptionConfiguration" Especifica o valor da criptografia EMR WAL.
"AwsKmsKey" Especifica a ID da chave CMK Arn.

Configurar a autenticação Kerberos

Uma configuração de segurança com definições Kerberos só pode ser usada por um cluster criado com atributos Kerberos, ou ocorrerá um erro. Para obter mais informações, consulte Usar o Kerberos para autenticação com o Amazon EMR. O Kerberos somente está disponível no Amazon EMR 5.10.0 e versões posteriores.

Especificar configurações do Kerberos usando o console

Escolha opções em Kerberos authentication (Autenticação Kerberos) de acordo com as diretrizes a seguir.

Parameter Descrição

Kerberos

Especifica que o Kerberos está habilitado em clusters que usam essa configuração de segurança. Ao usar essa configuração de segurança, o cluster também deverá ter configurações Kerberos especificadas ou ocorrerá um erro.

Provedor

KDC dedicado ao cluster

Especifica que o Amazon EMR criará um KDC no nó primário de qualquer cluster que usar essa configuração de segurança. Você especifica o nome do realm e a senha de administrador do KDC ao criar o cluster.

Você pode referenciar esse KDC por outros clusters, se necessário. Crie esses clusters usando outra configuração de segurança, especifique um KDC externo e use o nome do território e a senha de administrador do KDC que você especificar para o KDC dedicado ao cluster.

KDC externo

Disponível apenas no Amazon EMR 5.20.0 e versões posteriores. Especifica que os clusters que usam essa configuração de segurança autenticarão as entidades principais do Kerberos usando um servidor do KDC fora do cluster. O KDC não é criado no cluster. Ao criar o cluster, especifique o nome do realm e a senha de administrador do KDC para o KDC externo.

Vida útil do tíquete

Opcional. Especifica o período de validade de um tíquete do Kerberos emitido pelo KDC em clusters que usam essa configuração de segurança.

Os ciclos de vida do tíquete são limitados por motivos de segurança. As aplicações e os serviços de cluster renovarão automaticamente os tíquetes quando perderem a validade. Os usuários que se conectam ao cluster via SSH usando credenciais do Kerberos precisam executar kinit pela linha de comando do nó primário para renovar um tíquete expirado.

Relação de confiança entre realms

Especifica uma relação de confiança entre regiões entre um KDC dedicado ao cluster em clusters que usam essa configuração de segurança e um KDC em outro realm do Kerberos.

As entidades principais (normalmente usuários) de outro realm são autenticados em clusters que usam essa configuração. É necessário ter configuração adicional no outro realm do Kerberos. Para obter mais informações, consulte Tutorial: configurar uma relação de confiança entre realms com um controlador de domínio do Active Directory.
Propriedades de confiança entre realms

Realm

Especifica o nome de realm Kerberos de outro realm na relação de confiança. Por convenção, os nomes de realm do Kerberos são iguais ao nome do domínio, mas em letras maiúsculas.

Domínio

Especifica o nome de domínio de outro realm na relação de confiança.

Servidor do administrador

Especifica o nome de domínio totalmente qualificado (FQDN) ou endereço IP do servidor de administrador no outro realm da relação de confiança. O servidor de administração e o servidor de KDC normalmente são executados na mesma máquina com o mesmo FQDN, mas se comunicam por diferentes portas.

Se nenhuma porta especificada, a porta 749 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:749).

Servidor do KDC

Especifica o nome de domínio totalmente qualificado (FQDN) ou endereço IP do servidor do KDC no outro realm da relação de confiança. O servidor de KDC e o servidor de administração normalmente são executados na mesma máquina com o mesmo FQDN, mas usam diferentes portas.

Se nenhuma porta especificada, a porta 88 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:88).

KDC externo

Especifica que o KDC externo do cluster será usado pelo cluster.

Propriedades do KDC externo

Servidor do administrador

Especifica o nome de domínio totalmente qualificado (FQDN) ou o endereço IP do servidor do administrador externo. O servidor de administração e o servidor de KDC normalmente são executados na mesma máquina com o mesmo FQDN, mas se comunicam por diferentes portas.

Se nenhuma porta especificada, a porta 749 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:749).

Servidor do KDC

Especifica o nome de domínio totalmente qualificado (FQDN) do servidor do KDC externo. O servidor de KDC e o servidor de administração normalmente são executados na mesma máquina com o mesmo FQDN, mas usam diferentes portas.

Se nenhuma porta especificada, a porta 88 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:88).

Integração do Active Directory

Especifica que a autenticação da entidade principal do Kerberos está integrada a um domínio do Microsoft Active Directory.

Propriedades de integração do Active Directory

Realm do Active Directory

Especifica o nome do realm do Kerberos do domínio do Active Directory. Por convenção, os nomes de realm do Kerberos geralmente são iguais ao nome do domínio, mas em letras maiúsculas.

Domínio do Active Directory

Especifica o nome de domínio do Active Directory.

Servidor do Active Directory

Especifica o nome de domínio totalmente qualificado (FQDN) do controlador de domínio do Microsoft Active Directory.

Especificando as configurações do Kerberos usando o AWS CLI

A tabela de referência a seguir mostra os parâmetros JSON para configurações do Kerberos em uma configuração de segurança. Para exemplos de configuração, consulte Exemplos de configuração.

Parameter Descrição

"AuthenticationConfiguration": {

Obrigatório para o Kerberos. Especifica que uma configuração de autenticação faz parte dessa configuração de segurança.

"KerberosConfiguration": {

Obrigatório para o Kerberos. Especifica as propriedades de configuração do Kerberos.

"Provider": "ClusterDedicatedKdc",

—ou—

"Provider: "ExternalKdc",

ClusterDedicatedKdc especifica que o Amazon EMR criará um KDC no nó primário de qualquer cluster que usar essa configuração de segurança. Você especifica o nome do realm e a senha de administrador do KDC ao criar o cluster. Você pode referenciar esse KDC por outros clusters, se necessário. Crie esses clusters usando outra configuração de segurança, especifique um KDC externo e use o nome do território e a senha de administrador do KDC que você especificou ao criar o cluster com KDC dedicado ao cluster.

ExternalKdc especifica que o cluster usa um KDC externo. O Amazon EMR não cria um KDC no nó primário. O cluster que usa essa configuração de segurança deve especificar o nome do realm e a senha de administrador do KDC externo.

"ClusterDedicatedKdcConfiguration": {

Obrigatório quando ClusterDedicatedKdc for especificado.

"TicketLifetimeInHours": 24,

Opcional. Especifica o período de validade de um tíquete do Kerberos emitido pelo KDC em clusters que usam essa configuração de segurança.

Os ciclos de vida do tíquete são limitados por motivos de segurança. As aplicações e os serviços de cluster renovarão automaticamente os tíquetes quando perderem a validade. Os usuários que se conectam ao cluster via SSH usando credenciais do Kerberos precisam executar kinit pela linha de comando do nó primário para renovar um tíquete expirado.

"CrossRealmTrustConfiguration": {

Especifica uma relação de confiança entre regiões entre um KDC dedicado ao cluster em clusters que usam essa configuração de segurança e um KDC em outro realm do Kerberos.

As entidades principais (normalmente usuários) de outro realm são autenticados em clusters que usam essa configuração. É necessário ter configuração adicional no outro realm do Kerberos. Para obter mais informações, consulte Tutorial: configurar uma relação de confiança entre realms com um controlador de domínio do Active Directory.

"Realm": "KDC2.COM",

Especifica o nome de realm Kerberos de outro realm na relação de confiança. Por convenção, os nomes de realm do Kerberos são iguais ao nome do domínio, mas em letras maiúsculas.

"Domain": "kdc2.com",

Especifica o nome de domínio de outro realm na relação de confiança.

"AdminServer": "kdc.com:749",

Especifica o nome de domínio totalmente qualificado (FQDN) ou endereço IP do servidor de administrador no outro realm da relação de confiança. O servidor de administração e o servidor de KDC normalmente são executados na mesma máquina com o mesmo FQDN, mas se comunicam por diferentes portas.

Se nenhuma porta especificada, a porta 749 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:749).

"KdcServer": "kdc.com:88"

Especifica o nome de domínio totalmente qualificado (FQDN) ou endereço IP do servidor do KDC no outro realm da relação de confiança. O servidor de KDC e o servidor de administração normalmente são executados na mesma máquina com o mesmo FQDN, mas usam diferentes portas.

Se nenhuma porta especificada, a porta 88 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:88).

}

}

"ExternalKdcConfiguration": {

Obrigatório quando ExternalKdc for especificado.

"TicketLifetimeInHours": 24,

Opcional. Especifica o período de validade de um tíquete do Kerberos emitido pelo KDC em clusters que usam essa configuração de segurança.

Os ciclos de vida do tíquete são limitados por motivos de segurança. As aplicações e os serviços de cluster renovarão automaticamente os tíquetes quando perderem a validade. Os usuários que se conectam ao cluster via SSH usando credenciais do Kerberos precisam executar kinit pela linha de comando do nó primário para renovar um tíquete expirado.

"KdcServerType": "Single",

Especifica que um único servidor do KDC é referenciado. Single é o único valor com suporte atualmente.

"AdminServer": "kdc.com:749",

Especifica o nome de domínio totalmente qualificado (FQDN) ou o endereço IP do servidor do administrador externo. O servidor de administração e o servidor de KDC normalmente são executados na mesma máquina com o mesmo FQDN, mas se comunicam por diferentes portas.

Se nenhuma porta especificada, a porta 749 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:749).

"KdcServer": "kdc.com:88",

Especifica o nome de domínio totalmente qualificado (FQDN) do servidor do KDC externo. O servidor de KDC e o servidor de administração normalmente são executados na mesma máquina com o mesmo FQDN, mas usam diferentes portas.

Se nenhuma porta especificada, a porta 88 será usada, que é o padrão do Kerberos. Opcionalmente, você pode especificar a porta (por exemplo, domain.example.com:88).

"AdIntegrationConfiguration": {

Especifica que a autenticação da entidade principal do Kerberos está integrada a um domínio do Microsoft Active Directory.

"AdRealm": "AD.DOMAIN.COM",

Especifica o nome do realm do Kerberos do domínio do Active Directory. Por convenção, os nomes de realm do Kerberos geralmente são iguais ao nome do domínio, mas em letras maiúsculas.

"AdDomain": "ad.domain.com"

Especifica o nome de domínio do Active Directory.

"AdServer": "ad.domain.com"

Especifica o nome de domínio totalmente qualificado (FQDN) do controlador de domínio do Microsoft Active Directory.

}

}

}

}

Configurar perfis do IAM para solicitações do EMRFS para o Amazon S3

Os perfis do IAM para EMRFS permitem que você forneça diferentes permissões para os dados do EMRFS no Amazon S3. Você cria mapeamentos que especificam um perfil do IAM que é usado para permissões quando uma solicitação de acesso contém um identificador especificado. O identificador pode ser um usuário ou um perfil do Hadoop ou um prefixo do Amazon S3.

Para obter mais informações, consulte Configurar perfis do IAM para solicitações do EMRFS para o Amazon S3.

Especificando funções do IAM para o EMRFS usando o AWS CLI

Veja a seguir um exemplo de trecho JSON para especificar perfis do IAM personalizados para o EMRFS em uma configuração de segurança. Ele demonstra mapeamentos de perfil para os três tipos diferentes de identificadores, seguidos por uma referência de parâmetro. 

{
  "AuthorizationConfiguration": {
    "EmrFsConfiguration": {
      "RoleMappings": [{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
        "IdentifierType": "User",
        "Identifiers": [ "user1" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
        "IdentifierType": "Prefix",
        "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
        "IdentifierType": "Group",
        "Identifiers": [ "AdminGroup" ]
      }]
    }
  }
}
Parameter Descrição

"AuthorizationConfiguration":

Obrigatório.

 "EmrFsConfiguration":

Obrigatório. Contém mapeamentos de perfil.

  "RoleMappings":

Obrigatório. Contém uma ou mais definições de mapeamento de perfil. Os mapeamentos de perfil são avaliados na ordem em que aparecem, de cima para baixo. Se o mapeamento de perfil for avaliado como true para uma chamada do EMRFS para dados no Amazon S3, nenhum outro mapeamento de perfil será avaliado, e o EMRFS usará o perfil do IAM especificado para a solicitação. O mapeamento de perfil tem os seguintes parâmetros obrigatórios:

   "Role":

Especifica o identificador ARN de um perfil do IAM no formato arn:aws:iam::account-id:role/role-name. Essa é o perfil do IAM que o Amazon EMR assume se a solicitação do EMRFS para o Amazon S3 corresponder a qualquer um dos Identifiers especificados.

   "IdentifierType":

Pode ser um dos seguintes:

  • "User" especifica que os identificadores são um ou mais usuários do Hadoop, que podem ser usuários de contas Linux ou entidades principais do Kerberos. Quando a solicitação do EMRFS se origina com os usuários especificados, o perfil do IAM é assumido.

  • "Prefix" especifica que o identificador é um local do Amazon S3. O perfil do IAM é assumido para chamadas para os locais com os prefixos especificados. Por exemplo, o prefixo s3://amzn-s3-demo-bucket/ corresponde a s3://amzn-s3-demo-bucket/mydir e s3://amzn-s3-demo-bucket/yetanotherdir.

  • "Group" especifica que os identificadores são um ou mais grupos do Hadoop. O perfil do IAM será assumido se a solicitação for originada de um usuário dos grupos especificados.

   "Identifiers":

Especifica um ou mais identificadores do tipo de identificador adequado. Separe múltiplos identificadores por vírgulas sem espaços.

Configurar solicitações de serviço de metadados para instâncias da Amazon EC2

Os metadados da instância são dados sobre sua instância que é possível usar para configurar ou gerenciar a instância em execução. É possível acessar metadados de instância em uma instância em execução usando um dos seguintes métodos:

  • Instance Metadata Service versão 1 (IMDSv1) — um método de solicitação/resposta

  • Instance Metadata Service versão 2 (IMDSv2) — um método orientado a sessões

Enquanto a Amazon EC2 oferece suporte a ambos IMDSv1 IMDSv2, o Amazon EMR oferece suporte ao IMDSv2 Amazon EMR 5.23.1, 5.27.1, 5.32 ou posterior e 6.2 ou posterior. Nessas versões, os componentes do Amazon EMR são usados IMDSv2 para todas as chamadas do IMDS. Para chamadas IMDS no código do aplicativo, você pode usar ambos IMDSv1 e IMDSv2, ou configurar o IMDS para uso somente IMDSv2 para aumentar a segurança. Quando você especifica que IMDSv2 deve ser usado, IMDSv1 não funciona mais.

Para obter mais informações, consulte Configurar o serviço de metadados da instância no Guia do EC2 usuário da Amazon.

nota

Nas versões anteriores do Amazon EMR 5.x ou 6.x, a desativação IMDSv1 causa falha na inicialização do cluster, pois os componentes do Amazon EMR são usados em todas as chamadas do IMDS. IMDSv1 Ao desligar IMDSv1, certifique-se de que qualquer software personalizado que utilize IMDSv1 esteja atualizado para IMDSv2.

Especificar a configuração do serviço de metadados da instância usando a AWS CLI

Veja a seguir um exemplo de trecho JSON para especificar o serviço de metadados de EC2 instância da Amazon (IMDS) em uma configuração de segurança. O uso de uma configuração de segurança personalizada é opcional.

{
  "InstanceMetadataServiceConfiguration" : {
      "MinimumInstanceMetadataServiceVersion": integer,
      "HttpPutResponseHopLimit": integer
   }
}
Parameter Descrição

"InstanceMetadataServiceConfiguration":

Se você não especificar o IMDS em uma configuração de segurança e usar uma versão do Amazon EMR que exija IMDSv1, o Amazon EMR IMDSv1 usa como padrão a versão mínima do serviço de metadados de instância. Se quiser usar sua própria configuração, os dois parâmetros a seguir serão obrigatórios.

 "MinimumInstanceMetadataServiceVersion":

Obrigatório. Especifique 1 ou 2. Um valor 1 de IMDSv1 permissões IMDSv2 e. Um valor de 2 somente permissões IMDSv2.

 "HttpPutResponseHopLimit":

Obrigatório. O limite de salto de resposta HTTP PUT desejado para solicitações de metadados de instância. Quanto maior o número, mais as solicitações de metadados de instância podem viajar. Padrão: 1. Especifique um número inteiro de 1 a 64.

Especificar a configuração do serviço de metadados da instância usando o console

É possível configurar o uso do IMDS para um cluster ao iniciá-lo no console do Amazon EMR.

Para configurar o uso do IMDS usando o console:

  1. Ao criar uma nova configuração de segurança na página Configurações de segurança, selecione Configurar serviço de metadados de EC2 instância na configuração Serviço de metadados de EC2 instância. Essa configuração é compatível somente com o Amazon EMR 5.23.1, 5.27.1, 5.32 ou posteriores e 6.2 ou posteriores.

  2. Na opção Versão mínima do serviço de metadados de instância, selecione:

  3. Para IMDSv2, você também pode configurar o número permitido de saltos de rede para o token de metadados definindo o limite de salto de resposta HTTP put como um número inteiro entre e. 1 64

Para obter mais informações, consulte Configurar o serviço de metadados da instância no Guia do EC2 usuário da Amazon.

Consulte Configurar detalhes da instância e Configurar o serviço de metadados da instância no Guia do EC2 usuário da Amazon.