기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

EMR Studio Workspace 노트북 및 파일 암호화

EMR Studio에서 노트북을 구성하고 실행하기 위해 다양한 워크스페이스를 생성하고 구성할 수 있습니다. 이러한 워크스페이스는 노트북 및 관련 파일을 지정된 Amazon S3 버킷에 저장합니다. 기본적으로 이러한 파일은 서버 측 암호화를 기본 암호화 수준으로 사용하는 Amazon S3 관리형 키(SSE-S3)로 암호화됩니다. 고객 관리형 KMS 키(SSE-KMS)를 사용하여 파일을 암호화하도록 선택할 수도 있습니다. Amazon EMR 관리 콘솔을 사용하거나 EMR Studio를 생성할 때 AWS CLI및 AWSSDK를 통해 이를 수행할 수 있습니다.

EMR Studio Workspace 스토리지 암호화는 EMR Studio를 사용할 수 있는 모든 리전에서 사용 가능합니다.

사전 조건

EMR Studio 워크스페이스 노트북 및 파일을 암호화하려면 먼저 AWS Key Management Service를 사용하여 EMR Studio와 동일한 AWS 계정및 리전에서 대칭 고객 관리자 키(CMK)를 생성해야 합니다.

의 리소스 정책에는 EMR Studio의 서비스 역할에 필요한 액세스 권한이 있어야 AWS KMS합니다. 다음은 EMR Studio Workspace 스토리지 암호화에 대한 최소 액세스 권한을 부여하는 샘플 IAM 정책입니다.

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

EMR Studio 서비스 역할에는 AWS KMS키를 사용할 수 있는 액세스 권한도 있어야 합니다. 다음은 EMR Studio Workspace 스토리지 암호화에 대한 최소 액세스 권한을 부여하는 샘플 IAM 정책입니다.

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
      ],
      "Resource": [
        "arn:aws:kms:*:123456789012:key/12345678-1234-1234-1234-123456789012"
      ]
    }
  ]
}

새 EMR Studio 생성

다음 단계를 수행하여 워크스페이스 스토리지 암호화를 사용하는 새 EMR Studio를 생성합니다.

다음 단계에서는 EMR Studio를 업데이트하고 워크스페이스 스토리지 암호화를 설정하는 방법을 보여줍니다.