Atribuir e gerenciar usuários do EMR Studio

Ao usarConfigurar o modo de IAM autenticação para o Amazon EMR Studio, você deve permitir a CreateStudioPresignedUrl ação na política de IAM permissões de um usuário e restringir o usuário a um estúdio específico. Você pode incluir CreateStudioPresignedUrl em suas Permissões de usuários para o modo de autenticação do IAM ou usar uma política separada.

Para restringir um usuário a um Studio (ou conjunto de estúdios), você pode usar o controle de acesso baseado em atributos (ABAC) ou especificar o Amazon Resource Name (ARN) de um estúdio no Resource elemento da política de permissões.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
        }
    ]
}

aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "elasticmapreduce:ResourceTag/Team": "Data Analytics"
                }
            }
        }
    ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "elasticmapreduce:CreateStudioPresignedUrl",
      "Resource": "<example-studio-arn>",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": "<example-source-identity>"
        }
      }
    }
  ]
}

Ao atribuir um usuário ou grupo a um EMR Studio, você especifica uma política de sessão que define permissões refinadas, como a capacidade de criar um novo EMR cluster para esse usuário ou grupo. A Amazon EMR armazena esses mapeamentos de políticas de sessão. É possível atualizar a política de sessão de um usuário ou de um grupo após a atribuição.

Para atribuir um usuário ou grupo a um EMR estúdio usando o AWS CLI

Insira seus próprios valores para os argumentos create-studio-session-mapping a seguir. Para obter mais informações sobre o comando create-studio-session-mapping, consulte AWS CLI Command Reference.

aws emr create-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <example-identity-name> \
 --identity-type <USER-or-GROUP> \
 --session-policy-arn <example-session-policy-arn>

Use o comando get-studio-session-mapping para verificar a nova atribuição. Substituir <example-identity-name> com o nome do IAM Identity Center do usuário ou grupo que você atualizou.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Para atualizar as permissões de usuário ou grupo ao usar o modo de IAM autenticação, use IAM para alterar as políticas de IAM permissões anexadas às suas IAM identidades (usuários, grupos ou funções).

Para obter mais informações, consulte Permissões de usuários para o modo de autenticação do IAM.

Para atualizar as permissões do EMR Studio para um usuário ou grupo usando o AWS CLI

Insira seus próprios valores para os argumentos update-studio-session-mappings a seguir. Para obter mais informações sobre o comando update-studio-session-mappings, consulte AWS CLI Command Reference.

aws emr update-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-name <name-of-user-or-group-to-update> \
 --session-policy-arn <new-session-policy-arn-to-apply> \
 --identity-type <USER-or-GROUP> \

Use o comando get-studio-session-mapping para verificar a nova atribuição de política de sessão. Substituir <example-identity-name> com o nome do IAM Identity Center do usuário ou grupo que você atualizou.

aws emr get-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <user-or-group-name> \

Para remover um usuário ou grupo de um EMR Studio ao usar o modo de IAM autenticação, você deve revogar o acesso do usuário ao Studio reconfigurando a política de permissões do IAM usuário.

No exemplo de política a seguir, suponha que você tenha um EMR Studio com o par chave-valor da tag. Team = Quality Assurance De acordo com a política, o usuário pode acessar os Studios etiquetados com a chave Team cujo valor é igual a Data Analytics ou Quality Assurance. Para remover o usuário do Studio etiquetado com Team = Quality Assurance, remova Quality Assurance da lista de valores de etiqueta.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateStudioPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:CreateStudioPresignedUrl"
            ],
            "Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
            "Condition": {
                "StringEquals": {
                    "emr:ResourceTag/Team": [
                        "Data Analytics",
                        "Quality Assurance"
                  ]
                }
            }
        }
    ]
}

Para remover um usuário ou grupo de um EMR estúdio usando o AWS CLI

Insira seus próprios valores para os argumentos delete-studio-session-mapping a seguir. Para obter mais informações sobre o comando delete-studio-session-mapping, consulte AWS CLI Command Reference.

aws emr delete-studio-session-mapping \
 --studio-id <example-studio-id> \
 --identity-type <USER-or-GROUP> \
 --identity-name <name-of-user-or-group-to-delete> \