为向 Amazon S3 发出的EMRFS请求配置IAM角色

更新 IAM 角色的信任策略

从 IAM 打开 https://console.aws.amazon.com/iam/ 控制台。

1. 选择 Roles (角色)，在 Search (搜索) 中输入角色的名称，然后选择其 Role name (角色名称)。

2. 选择信任关系，然后选择编辑信任关系。

3. 根据 Policy Document（策略文档）和上述指南添加信任语句，然后选择 Update Trust Policy（更新信任策略）。

使用控制台为向 Amazon S3 发出的EMRFS请求指定IAM角色

1. 创建一个安全配置来指定角色映射：

   1. 在 Amazon EMR 控制台中，选择安全配置，创建。

   2. 键入安全配置的 Name (名称)。在创建集群时，使用此名称来指定安全配置。

   3. 选择 “使用IAM角色处理向 Amazon S3 发出的EMRFS请求”。

   4. 选择要应用的 IAM role (IAM 角色)，在 Basis for access (访问基础) 下的列表中选择标识符类型（Users (用户)、Groups (组) 或 S3 prefixes (S3 前缀)），然后输入相应标识符。如果使用多个标识符，请将它们以逗号分隔，不要包含空格。有关每个标识符类型的更多信息，请参阅以下 JSON configuration reference。

   5. 选择Add role (添加角色)设置其它角色映射，如上一步所述。

   6. 根据需要设置其它安全配置选项，然后选择 Create (创建)。有关更多信息，请参阅使用 Amazon EMR 控制台或使用 AWS CLI。

2. 创建集群时，指定在上面创建的安全配置。有关更多信息，请参阅 为 Amazon EMR 集群指定安全配置。

要为向 Amazon S3 发出的EMRFS请求指定IAM角色，请使用 AWS CLI

1. 使用aws emr create-security-configuration命令，指定安全配置的名称和JSON格式的安全配置详细信息。

   下面所示的示例命令创建名为 EMRFS_Roles_Security_Configuration 的安全配置。它基于文件中的JSON结构MyEmrfsSecConfig.json，该结构保存在执行命令的同一目录中。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   按照以下准则处理 MyEmrFsSecConfig.json 文件的结构。您可以与其它安全配置选项的结构一起指定此结构。有关更多信息，请参阅 使用 Amazon EMR 控制台或使用 AWS CLI。

   以下是在安全配置中为其指定自定义IAM角色的EMRFS示例JSON片段。它演示了三种不同标识符类型的角色映射，后跟参数引用。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   参数	描述
   "AuthorizationConfiguration":	必需。
   "EmrFsConfiguration":	必需。包含角色映射。
   "RoleMappings":	必需。包含一个或多个角色映射定义。按照角色映射的先后顺序对角色映射进行评估。如果在 Amazon S3 中EMRFS调用数据时角色映射评估为真，则不会再评估角色映射，EMRFS而是使用指定的IAM角色进行请求。角色映射由以下必需参数组成：
   "Role":	以格式指定IAM角色的ARN标识符arn:aws:iam::account-id:role/role-name。如果对 Amazon S3 的请求与任何Identifiers指定的EMRFS请求相匹配，则亚马逊将EMR扮演这个IAM角色。
   "IdentifierType":	可以是以下值之一： "User" 指定标识符是一个或多个 Hadoop 用户，可以是 Linux 账户用户或 Kerberos 主体。当EMRFS请求由指定的一个或多个用户发起时，将IAM扮演该角色。 "Prefix" 指定该标识符是 Amazon S3 位置。调用具有指定前缀的一个或多个位置时将扮演该IAM角色。例如，前缀 s3://amzn-s3-demo-bucket/ 匹配 s3://amzn-s3-demo-bucket/mydir 和 s3://amzn-s3-demo-bucket/yetanotherdir。 "Group" 指定标识符是一个或多个 Hadoop 组。如果请求来自一个或多个指定组中的用户，则代入该IAM角色。
   "Identifiers":	指定一个或多个相应标识符类型的标识符。用逗号分隔多个标识符，不含空格。

2. 使用 aws emr create-cluster 命令创建集群，并指定上一步中创建的安全配置。

   以下示例创建一个安装了默认核心 Hadoop 应用程序的集群。集群使用上面创建的安全配置EMRFS_Roles_Security_Configuration，还使用使用使用参数的EC2--ec2-attributes参数指定的自定义 Amazon EMR 角色。EC2_Role_EMR_Restrict_S3 InstanceProfile

   注意

   为了便于读取，包含 Linux 行继续符（\）。它们可以通过 Linux 命令删除或使用。对于 Windows，请将它们删除或替换为脱字号（^）。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.5.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration