將 Amazon S3 Access Grants 與 Amazon EMR 搭配使用

1. 使用者會提交使用存放在 Amazon S3 中之資料的 Amazon EMR Spark 作業。

2. Amazon EMR 會提出 S3 Access Grants 請求，以允許代表該使用者存取儲存貯體、字首或物件。

3. Amazon S3 會以 AWS Security Token Service (STS) 權杖的形式傳回使用者的臨時憑證。權杖的範圍設定為存取 S3 儲存貯體、字首或物件。

4. Amazon EMR 會使用 STS 權杖從 S3 擷取資料。

5. Amazon EMR 會從 S3 接收資料，並將結果傳回給使用者。

使用以下步驟啟動在 Amazon EC2 上執行的 EMR 叢集，以及使用 S3 Access Grants 來管理 Amazon S3 中的資料存取。

1. 為您的 EMR 叢集設定作業執行角色。包括執行 Spark 作業所需的必要 IAM 許可 s3:GetDataAccess 及 s3:GetAccessGrantsInstanceForPrefix：

   {
       "Effect": "Allow",
       "Action": [
       "s3:GetDataAccess",
       "s3:GetAccessGrantsInstanceForPrefix"
       ],
       "Resource": [     //LIST ALL INSTANCE ARNS THAT THE ROLE IS ALLOWED TO QUERY
            "arn:aws_partition:s3:Region:account-id1:access-grants/default",
            "arn:aws_partition:s3:Region:account-id2:access-grants/default"
       ]
   }

   注意

   使用 Amazon EMR 時，S3 Access Grants 可增強 IAM 角色中設定的許可。如果您指定用於作業執行的 IAM 角色包含直接存取 S3 的許可，則使用者可能能夠存取比您在 S3 Access Grants 中定義之資料多的資料。

2. 接著，使用 AWS CLI 建立具有 Amazon EMR 6.15 或更新版本的叢集，以及啟用 S3 Access Grants 的emrfs-site分類，類似下列範例：

   aws emr create-cluster 
     --release-label emr-6.15.0 \
     --instance-count 3 \
     --instance-type m5.xlarge \
     --configurations '[{"Classification":"emrfs-site", "Properties":{"fs.s3.s3AccessGrants.enabled":"true", "fs.s3.s3AccessGrants.fallbackToIAM":"false"}}]'