Configuration de rôles IAM pour les demandes EMRFS à Amazon S3

Pour mettre à jour la stratégie d'approbation d'un rôle IAM

Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

1. Choisissez Rôles, saisissez le nom du rôle dans Search (Rechercher), puis sélectionnez Role name (Nom de rôle).

2. Choisissez Relations d'approbation, Modifier la relation d'approbation.

3. Ajouter une instruction d'approbation en fonction du Document de stratégie, conformément aux directives ci-dessus, puis choisissez Mettre à jour la stratégie de confiance.

Pour spécifier les rôles IAM pour les demandes EMRFS dans Amazon S3 à l'aide de la console

1. Créez une configuration de sécurité qui spécifie les mappages de rôle :

   1. Dans la console Amazon EMR, sélectionnez Configurations de sécurité, Créer.

   2. Dans Name (Nom), saisissez un nom pour la configuration de sécurité. Ce nom est utilisé pour spécifier la configuration de sécurité lorsque vous créez un cluster.

   3. Choisissez Utiliser des rôles IAM pour les demandes EMRFS à Amazon S3.

   4. Sélectionnez un rôle IAM à appliquer, puis, sous Base pour l'accès, sélectionnez un type d'identifiant (Utilisateurs, Groupes ou Préfixes S3) dans la liste et entrez les identifiants correspondants. Si vous utilisez plusieurs identifiants, séparez-les par une virgule sans insérer d'espace. Pour plus d'informations sur chaque type d'identifiant, consultez la JSON configuration reference ci-dessous.

   5. Choisissez Add role (Ajouter un rôle) pour configurer des mappages de rôle supplémentaires, comme décrit à l'étape précédente.

   6. Définissez les autres options de la configuration de sécurité selon vos besoins et choisissez Create (Créer). Pour de plus amples informations, veuillez consulter Créez une configuration de sécurité à l'aide de la console Amazon EMR ou du AWS CLI.

2. Spécifiez la configuration de sécurité créée précédemment lorsque vous créez un cluster. Pour de plus amples informations, veuillez consulter Spécifier une configuration de sécurité pour un cluster Amazon EMR.

Pour spécifier les rôles IAM pour les demandes EMRFS adressées à Amazon S3 à l'aide du AWS CLI

1. Utilisez la commande aws emr create-security-configuration, en spécifiant un nom pour la configuration de sécurité et les détails de la configuration de sécurité au format JSON.

   L'exemple de commande ci-dessous crée une configuration de sécurité nommée EMRFS_Roles_Security_Configuration. Elle est basée sur une structure JSON dans le fichier MyEmrfsSecConfig.json, qui est enregistré dans le répertoire où la commande est exécutée.

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   Utilisez les instructions suivantes pour la structure du fichier MyEmrFsSecConfig.json. Vous pouvez spécifier cette structure en même temps que les structures pour d'autres options de la configuration de sécurité. Pour de plus amples informations, veuillez consulter Créez une configuration de sécurité à l'aide de la console Amazon EMR ou du AWS CLI.

   Vous trouverez ci-dessous un exemple d'extrait JSON permettant de spécifier des rôles IAM personnalisés pour EMRFS dans une configuration de sécurité. Il montre les mappages de rôles pour les trois types d'identifiants différents, suivis d'une référence de paramètre.

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   Paramètre	Description
   "AuthorizationConfiguration":	Obligatoire.
   "EmrFsConfiguration":	Obligatoire. Contient des mappages de rôles.
   "RoleMappings":	Obligatoire. Contient une ou plusieurs définitions de mappage de rôles. Les mappages de rôles sont évalués dans l'ordre d'apparition du haut vers le bas. Si un mappage de rôle est considéré comme vrai pour un appel de données EMRFS dans Amazon S3, aucun autre mappage de rôle n'est évalué et EMRFS utilise le rôle IAM spécifié pour la demande. Les mappages de rôles sont constitués des paramètres obligatoires suivants :
   "Role":	Spécifie l'identifiant ARN d'un rôle IAM au format arn:aws:iam::account-id:role/role-name. Il s'agit du rôle IAM assumé par Amazon EMR si la demande EMRFS envoyée à Amazon S3 correspond à l'une des Identifiers spécifiées.
   "IdentifierType":	Les valeurs suivantes sont possibles : "User" indique que les identifiants sont ceux d'un ou de plusieurs utilisateurs Hadoop, qui peuvent être des utilisateurs de comptes Linux ou des utilisateurs principaux de Kerberos. Lorsque la demande EMRFS provient de l'utilisateur ou des utilisateurs spécifiés, le rôle IAM est assumé. "Prefix" indique que l'identifiant est un emplacement Amazon S3. Le rôle IAM est assumé pour les appels vers le ou les emplacements dotés des préfixes spécifiés. Par exemple, le préfixe s3://amzn-s3-demo-bucket/ correspond à s3://amzn-s3-demo-bucket/mydir et s3://amzn-s3-demo-bucket/yetanotherdir. "Group" indique que les identifiants sont un ou plusieurs groupes Hadoop. Le rôle IAM est assumé si la demande provient d'un utilisateur appartenant à un ou plusieurs groupes spécifiés.
   "Identifiers":	Spécifie un ou plusieurs identifiants du type d'identifiant approprié. Séparez les identifiants multiples par des virgules sans espace.

2. Utilisez la commande aws emr create-cluster pour créer un cluster et spécifiez la configuration de sécurité créée à l'étape précédente.

   L'exemple suivant crée un cluster avec les principales applications Hadoop par défaut installées. Le cluster utilise la configuration de sécurité créée précédemment en tant que EMRFS_Roles_Security_Configuration et utilise également un rôle Amazon EMR pour EC2, EC2_Role_EMR_Restrict_S3, qui est spécifié à l'aide de l'argument InstanceProfile du paramètre --ec2-attributes.

   Note

   Les caractères de continuation de ligne Linux (\) sont inclus pour des raisons de lisibilité. Ils peuvent être supprimés ou utilisés dans les commandes Linux. Pour Windows, supprimez-les ou remplacez-les par un caret (^).

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.12.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration