加密 EMR Studio Workspace Notebook 和文件

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 EMR Studio 中，您可以创建和配置不同的 Workspace 来组织和运行 Notebook。这些 Workspace 将 Notebook 和相关文件存储在指定的 Amazon S3 存储桶中。默认情况下，这些文件使用 Amazon S3 托管密钥（SSE-S3）进行加密，并将服务器端加密作为基础加密级别。您还可以选择使用客户托管 KMS 密钥（SSE-KMS）来加密文件。在创建 EMR Studio 时，您可以使用 Amazon EMR 管理控制台或通过 AWS CLI 和 AWS 软件开发工具包来实现。

EMR Studio Workspace 存储加密适用于 EMR Studio 所在的所有区域。

先决条件

在加密 EMR Studio 工作空间笔记本和文件之前，必须使用 AWS Key Management Service 创建与您的 EMR Studio 相同 AWS 账户 和区域的对称客户经理密钥 (CMK)。

您的资源策略 AWS KMS 必须具有您的 EMR Studio 服务角色所需的访问权限。以下是授予 EMR Studio Workspace 存储加密最低访问权限的 IAM 策略示例：

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

您的 EMR Studio 服务角色还必须具有访问权限才能使用您的 AWS KMS 密钥。以下是授予 EMR Studio Workspace 存储加密最低访问权限的 IAM 策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
            "Effect": "Allow",
            "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey",
               "kms:ReEncryptFrom",
               "kms:ReEncryptTo",
               "kms:DescribeKey"             
            ],
            "Resource": ["arn:aws:kms:<REGION>:<ACCOUNT_ID>:key/<KEY_IDENTIFIER>"]
        }
    ]
}

创建新的 EMR Studio

按照以下步骤创建使用 Workspace 存储加密的新 EMR Studio。

以下步骤演示了如何更新 EMR Studio 和设置 Workspace 存储加密。