本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立安全組態

本主題涵蓋使用 Amazon EMR主控台和 建立安全組態的一般程序 AWS CLI，後面接著包含 加密、身分驗證和IAM角色的參數參考EMRFS。如需這些功能的詳細資訊，請參閱下列主題：

設定資料加密

在安全組態中設定加密前，請建立用於加密的金鑰和憑證。如需詳細資訊，請參閱 提供使用 Amazon 加密靜態資料的金鑰 EMR 和 提供使用 Amazon 加密來EMR加密傳輸中資料的憑證。

您在建立安全組態時指定兩組加密選項：靜態資料加密和傳輸中資料加密。靜態資料加密的選項包括具有 EMRFS和本機磁碟加密的 Amazon S3。傳輸中加密選項可為支援 Transport Layer Security （） 的特定應用程式啟用開放原始碼加密功能TLS。靜態和傳輸中的選項可同時啟用或分別啟用。如需詳細資訊，請參閱加密靜態和傳輸中的資料。

使用主控台指定加密選項

在 Encryption (加密) 中，根據下列的準則來選擇選項。

使用 指定加密選項 AWS CLI

以下各節使用範例案例來說明不同組態和金鑰提供者--security-configurationJSON的格式良好，然後是JSON參數和適當值的參考。

傳輸中資料加密選項範例

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": false,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		}
	}
}'				
				

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": false,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar",
				"CertificateProviderClass": "com.mycompany.MyCertProvider"
			}
		}
 	}
}'		

靜態資料加密選項範例

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": false,
		"EnableAtRestEncryption": true,
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "SSE-S3"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "AwsKms",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
 	}
}'				

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": true,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "arn:aws:s3:::MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "SSE-KMS",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "AwsKms",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
	}
}'

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": true,
		"EnableAtRestEncryption": true,
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "PEM",
				"S3Object": "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "CSE-KMS",
				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "Custom",
				"S3Object": "arn:aws:s3:::artifacts/MyKeyProvider.jar",
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption": "true",
		"EnableAtRestEncryption": "true",
		"InTransitEncryptionConfiguration": {
			"TLSCertificateConfiguration": {
				"CertificateProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar", 
				"CertificateProviderClass": "com.mycompany.MyCertProvider"
			}
		},
		"AtRestEncryptionConfiguration": {
			"S3EncryptionConfiguration": {
				"EncryptionMode": "CSE-Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar", 
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
				},
			"LocalDiskEncryptionConfiguration": {
				"EncryptionKeyProviderType": "Custom",
				"S3Object": "s3://MyConfig/artifacts/MyCerts.jar",
				"EncryptionKeyProviderClass": "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
  	"EncryptionConfiguration": {
   		"AtRestEncryptionConfiguration": {
      	     	"S3EncryptionConfiguration": {
        			"EncryptionMode": "SSE-KMS",
        			"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012",
        			"Overrides": [
         				 {
           				 "BucketName": "sse-s3-bucket-name",
            				"EncryptionMode": "SSE-S3"
          				},
          				{
            				"BucketName": "cse-kms-bucket-name",
           				 "EncryptionMode": "CSE-KMS",
            				"AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
         				 },
         				 {
           				 "BucketName": "sse-kms-bucket-name",
          				  "EncryptionMode": "SSE-KMS",
           				 "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
          				}
        					]
      							}
   						 	},
   		"EnableInTransitEncryption": false,
    		"EnableAtRestEncryption": true
  }
}'

以下範例說明以下案例：

aws emr create-security-configuration --name "MyS3EncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "S3EncryptionConfiguration": {
                "EncryptionMode": "SSE-S3"
            }
        }
     }
}'   

以下範例說明以下案例：

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "LocalDiskEncryptionConfiguration": {
                "EncryptionKeyProviderType": "AwsKms",
                "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}'  

以下範例說明以下案例：

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption": false,
        "EnableAtRestEncryption": true,
        "AtRestEncryptionConfiguration": {
            "LocalDiskEncryptionConfiguration": {
                "EnableEbsEncryption": true,
                "EncryptionKeyProviderType": "AwsKms",
                "AwsKmsKey": "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}' 

以下範例說明以下案例：

SSE-EMR-WAL 用於EMRWAL加密

aws emr create-security-configuration --name "MySecConfig" \
    --security-configuration '{
        "EncryptionConfiguration": {
            "EMRWALEncryptionConfiguration":{ },
            "EnableInTransitEncryption":false, "EnableAtRestEncryption":false
        }
    }'

EnableInTransitEncryption 如果想要啟用相關加密， EnableAtRestEncryption 仍然可能是 true。

以下範例說明以下案例：

aws emr create-security-configuration --name "MySecConfig" \
    --security-configuration '{
        "EncryptionConfiguration": {
            "EMRWALEncryptionConfiguration":{
                "AwsKmsKey":"arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
                },
            "EnableInTransitEncryption":false, "EnableAtRestEncryption":false
        }
    }'

EnableInTransitEncryption 如果想要啟用相關加密， EnableAtRestEncryption 仍然可能是 true。

JSON 加密設定的參考

下表列出加密設定的JSON參數，並提供每個參數可接受值的說明。

設定 Kerberos 身分驗證

Kerberos 設定的安全組態只能由以 Kerberos 屬性建立的叢集使用，否則會發生錯誤。如需詳細資訊，請參閱使用 Kerberos 與 Amazon 進行身分驗證 EMR。Kerberos 僅適用於 Amazon EMR5.10.0 版及更新版本。

使用主控台指定 Kerberos 設定

根據下列的準則，在 Kerberos authentication (Kerberos 身分驗證) 中選擇選項。

使用 指定 Kerberos 設定 AWS CLI

下列參考資料表顯示安全組態中 Kerberos 設定的JSON參數。如需組態範例，請參閱組態範例。

設定 Amazon S3 EMRFS請求IAM的角色

IAM 角色EMRFS可讓您為 Amazon S3 中的EMRFS資料提供不同的許可。您可以建立對應，指定當存取請求包含您指定的識別符時，用於許可IAM的角色。識別符可以是 Hadoop 使用者或角色，或 Amazon S3 字首。

如需詳細資訊，請參閱設定 Amazon S3 EMRFS請求IAM的角色。

使用 指定IAM角色 EMRFS AWS CLI

以下是在安全組態EMRFS中指定 自訂IAM角色的範例程式碼JSON片段。它示範了三種不同標識符類型的角色映射，後接參數參考。

{
  "AuthorizationConfiguration": {
    "EmrFsConfiguration": {
      "RoleMappings": [{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
        "IdentifierType": "User",
        "Identifiers": [ "user1" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
        "IdentifierType": "Prefix",
        "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
        "IdentifierType": "Group",
        "Identifiers": [ "AdminGroup" ]
      }]
    }
  }
}

設定中繼資料服務請求至 Amazon EC2執行個體

執行個體中繼資料 是關於您執行個體的資料，您可以用來設定或管理執行中的執行個體。您可以使用以下其中一個方法，從執行中的執行個體存取執行個體中繼資料：

雖然 Amazon 同時EC2支援 IMDSv1和 IMDSv2，但 Amazon EMRIMDSv2支援 Amazon EMR 5.23.1、5.27.1、5.32 或更新版本，以及 6.2 或更新版本。在這些版本中，Amazon EMR元件會IMDSv2用於所有IMDS通話。對於應用程式程式碼中的IMDS呼叫，您可以使用 IMDSv1和 IMDSv2，或IMDS將 設定為僅用於IMDSv2提高安全性。當您指定 IMDSv2 必須使用時， IMDSv1 將不再運作。

如需詳細資訊，請參閱 Amazon EC2使用者指南 中的設定執行個體中繼資料服務。

使用 AWS CLI指定執行個體中繼資料服務組態

以下是在安全組態中指定 Amazon EC2執行個體中繼資料服務 JSON （IMDS） 的範例程式碼片段。選用自訂安全組態。

{
  "InstanceMetadataServiceConfiguration" : {
      "MinimumInstanceMetadataServiceVersion": integer,
      "HttpPutResponseHopLimit": integer
   }
}

使用主控台指定執行個體中繼資料服務組態

當您從 Amazon EMR主控台啟動叢集時，您可以IMDS為叢集設定 的使用。

如需詳細資訊，請參閱 Amazon EC2使用者指南 中的設定執行個體中繼資料服務。

請參閱 Amazon EC2使用者指南 中的設定執行個體詳細資訊和設定執行個體中繼資料服務。