設定 Amazon S3 EMRFS請求IAM的角色

更新IAM角色的信任政策

在 開啟IAM主控台https://console.aws.amazon.com/iam/。

1. 選擇 Roles (角色)、在 Search (搜尋) 中輸入角色的名稱，然後選取它的 Role name (角色名稱)。

2. 選擇 Trust relationships (信任關係)、Edit trust relationship (編輯信任關係)。

3. 依照上述指導方針，根據政策文件新增信任陳述式，然後選擇更新信任政策。

使用主控台指定 Amazon S3 EMRFS請求IAM的角色

1. 建立指定角色映射的安全組態：

   1. 在 Amazon EMR主控台中，選取安全組態 ，建立 。

   2. 輸入安全組態的 Name (名稱)。您建立叢集時會使用此名稱來指定安全組態。

   3. 選擇對 Amazon S3 EMRFS請求使用IAM角色。

   4. 選取要套用IAM的角色，並在存取基礎下從清單中選擇識別符類型 （使用者 、群組 或 S3 字首 ），然後輸入對應的識別符。如果您使用多個識別符，以逗號和不含空格的方式分隔識別符。如需每個識別符類型的詳細資訊，請參閱下面的「JSON configuration reference」。

   5. 選擇 Add role (新增角色)，來設定如先前步驟中所述的額外角色對應。

   6. 適當地設定其他的安全組態選項，然後選擇 Create (建立)。如需詳細資訊，請參閱使用 Amazon EMR主控台或使用 建立安全組態 AWS CLI。

2. 建立叢集時指定您在上面建立的安全組態。如需詳細資訊，請參閱指定 Amazon EMR叢集的安全組態。

使用 指定 Amazon S3 EMRFS請求IAM的角色 AWS CLI

1. 使用 aws emr create-security-configuration命令，指定安全組態的名稱，以及 JSON 格式的安全組態詳細資訊。

   以下所示範例命令建立名稱為 EMRFS_Roles_Security_Configuration 的安全組態。它以檔案 中的結構為基礎MyEmrfsSecConfig.json，該JSON結構會儲存在執行命令的相同目錄中。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   使用下列針對 MyEmrFsSecConfig.json 檔案結構的指導方針。您可以指定此結構以及其他安全組態選項的結構。如需詳細資訊，請參閱使用 Amazon EMR主控台或使用 建立安全組態 AWS CLI。

   以下是在安全組態EMRFS中指定 自訂IAM角色的範例程式碼JSON片段。它示範了三種不同標識符類型的角色映射，後接參數參考。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   參數	描述
   "AuthorizationConfiguration":	必要。
   "EmrFsConfiguration":	必要。包含角色映射。
   "RoleMappings":	必要。包含一或多個角色映射定義。角色映射以顯示的由上而下順序進行評估。如果角色映射評估 Amazon S3 中資料的EMRFS呼叫為 true，則不會評估其他角色映射，並針對請求EMRFS使用指定的IAM角色。角色映射包含下列必要參數：
   "Role":	以 格式指定IAM角色的ARN識別符 arn:aws:iam::account-id:role/role-name。如果對 Amazon S3 的EMRFS請求符合任何Identifiers指定的 ，這是 Amazon EMR擔任IAM的角色。 Amazon S3
   "IdentifierType":	可為下列其中之一： "User" 指定識別符是一或多個 Hadoop 使用者，這些使用者可以是 Linux 帳戶使用者或 Kerberos 主體。當EMRFS請求源自於指定的使用者時，即會擔任IAM角色。 "Prefix" 指定此識別符為 Amazon S3 位置。IAM 角色會擔任，以呼叫具有指定字首的位置。例如，字首 s3://mybucket/ 符合 s3://mybucket/mydir 和 s3://mybucket/yetanotherdir。 "Group" 指定識別符是一或多個 Hadoop 群組。如果請求來自指定群組中的使用者，則會擔任該IAM角色。
   "Identifiers":	指定適當識別符類型的一或多個識別符。以逗號分隔多個識別符，不含空格。

2. 使用 aws emr create-cluster 命令來建立叢集並指定您在上一個步驟建立的安全組態。

   以下範例在安裝預設核心 Hadoop 應用程式下建立叢集。叢集使用上述建立的安全組態作為 EC2，EMRFS_Roles_Security_Configuration也使用 的自訂 Amazon EMR角色EC2_Role_EMR_Restrict_S3，該角色是使用 --ec2-attributes 參數的InstanceProfile引數指定的。

   注意

   包含 Linux 行接續字元 (\) 是為了提高可讀性。它們可以在 Linux 命令中移除或使用。對於 Windows，請將其移除或取代為插入符號 (^)。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.3.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration