Configurar IAM funções para EMRFS solicitações ao Amazon S3

Para atualizar a política de confiança de uma IAM função

Abra o IAM console em https://console.aws.amazon.com/iam/.

1. Selecione Roles (funções), insira o nome da função em Search (Pesquisar) e, em seguida, selecione o Role name (Nome da função).

2. Escolha Trust relationships (Relacionamentos de confiança), Edit trust relationship (Editar relacionamento de confiança).

3. Adicione uma instrução de confiança de acordo com o Documento da política, de acordo com as diretrizes acima e selecione Atualizar política de confiança.

Para especificar IAM funções para EMRFS solicitações ao Amazon S3 usando o console

1. Crie uma configuração de segurança que especifica os mapeamentos de função:

   1. No EMR console da Amazon, selecione Configurações de segurança, Criar.

   2. Digite um nome em Name (Nome) para a configuração de segurança. Esse nome é usado para especificar a configuração de segurança ao criar um cluster.

   3. Escolha Usar IAM funções para EMRFS solicitações ao Amazon S3.

   4. Selecione uma IAMfunção a ser aplicada e, em Base para acesso, selecione um tipo de identificador (usuários, grupos ou prefixos S3) na lista e insira os identificadores correspondentes. Se você usar vários identificadores, separe-os com uma vírgula e sem espaço. Para obter mais informações sobre cada tipo de identificador, consulte a JSON configuration reference abaixo.

   5. Escolha Add role (Adicionar função) para configurar mapeamentos de funções adicionais, conforme descrito na etapa anterior.

   6. Configure outras opções de configuração de segurança conforme apropriado e escolha Create (Criar). Para obter mais informações, consulte Crie uma configuração de segurança com o EMR console da Amazon ou com o AWS CLI.

2. Especifique a configuração de segurança criada acima ao criar um cluster. Para obter mais informações, consulte Especifique uma configuração de segurança para um EMR cluster da Amazon.

Para especificar IAM funções para EMRFS solicitações ao Amazon S3 usando o AWS CLI

1. Use o aws emr create-security-configuration comando, especificando um nome para a configuração de segurança e os detalhes da configuração de segurança no JSON formato.

   O comando de exemplo mostrado a seguir cria uma configuração de segurança com o nome EMRFS_Roles_Security_Configuration. Ele é baseado em uma JSON estrutura no arquivoMyEmrfsSecConfig.json, que é salva no mesmo diretório em que o comando é executado.

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   Use as diretrizes a seguir para a estrutura do arquivo MyEmrFsSecConfig.json. Você pode especificar essa estrutura juntamente com estruturas de outras opções de configuração de segurança. Para obter mais informações, consulte Crie uma configuração de segurança com o EMR console da Amazon ou com o AWS CLI.

   Veja a seguir um exemplo de JSON trecho para especificar IAM funções personalizadas EMRFS em uma configuração de segurança. Ele demonstra mapeamentos de perfil para os três tipos diferentes de identificadores, seguidos por uma referência de parâmetro.

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   Parâmetro	Descrição
   "AuthorizationConfiguration":	Obrigatório.
   "EmrFsConfiguration":	Obrigatório. Contém mapeamentos de perfil.
   "RoleMappings":	Obrigatório. Contém uma ou mais definições de mapeamento de perfil. Os mapeamentos de perfil são avaliados na ordem em que aparecem, de cima para baixo. Se um mapeamento de função for avaliado como verdadeiro para uma EMRFS chamada de dados no Amazon S3, nenhum outro mapeamento de função será avaliado EMRFS e usará a função IAM especificada para a solicitação. O mapeamento de perfil tem os seguintes parâmetros obrigatórios:
   "Role":	Especifica o ARN identificador de uma IAM função no formatoarn:aws:iam::account-id:role/role-name. Essa é a IAM função que a Amazon EMR assume se a EMRFS solicitação para o Amazon S3 corresponder a qualquer uma das Identifiers especificadas.
   "IdentifierType":	Pode ser um dos seguintes: "User" especifica que os identificadores são um ou mais usuários do Hadoop, que podem ser usuários de contas Linux ou entidades principais do Kerberos. Quando a EMRFS solicitação se origina com o usuário ou usuários especificados, a IAM função é assumida. "Prefix" especifica que o identificador é um local do Amazon S3. A IAM função é assumida para chamadas para o local ou locais com os prefixos especificados. Por exemplo, o prefixo s3://mybucket/ corresponde a s3://mybucket/mydir e s3://mybucket/yetanotherdir. "Group" especifica que os identificadores são um ou mais grupos do Hadoop. A IAM função é assumida se a solicitação for originada de um usuário no grupo ou grupos especificados.
   "Identifiers":	Especifica um ou mais identificadores do tipo de identificador adequado. Separe múltiplos identificadores por vírgulas sem espaços.

2. Use o comando aws emr create-cluster para criar um cluster e especifique a configuração de segurança que você criou na etapa anterior.

   O exemplo a seguir cria um cluster com aplicativos Hadoop de núcleo padrão instalados. O cluster usa a configuração de segurança criada acima como EMRFS_Roles_Security_Configuration e também usa uma EMR função personalizada da Amazon para EC2EC2_Role_EMR_Restrict_S3,, que é especificada usando o InstanceProfile argumento do --ec2-attributes parâmetro.

   nota

   Os caracteres de continuação de linha do Linux (\) são incluídos para facilitar a leitura. Eles podem ser removidos ou usados ​​em comandos do Linux. No Windows, remova-os ou substitua-os por um sinal de interpolação (^).

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.3.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration