Beispielrichtlinien für private Subnetze, die auf Amazon S3 zugreifen

Für private Subnetze müssen Sie Amazon EMR mindestens die Möglichkeit geben, auf Amazon-Linux-Repositorys zuzugreifen. Diese private Subnetzrichtlinie ist Teil der VPC-Endpunktrichtlinien für den Zugriff auf Amazon S3.

Mit Amazon EMR 5.25.0 oder höher müssen Sie Amazon EMR den Zugriff auf den System-Bucket ermöglichen, in dem die Spark-Ereignisprotokolle erfasst werden, um den Zugriff auf den persistenten Spark-History-Server mit nur einem Klick zu aktivieren. Wenn Sie die Protokollierung aktivieren, geben Sie PUT-Berechtigungen für den folgenden Bucket ein:

aws157-logs-${AWS::Region}/*

Weitere Informationen finden Sie unter Zugriff auf den persistenten Spark History Server mit nur einem Klick.

Es ist dem Benutzer überlassen, den Businessanforderungen entsprechende Richtlinieneinschränkungen festzulegen. Die folgende Beispielrichtlinie bietet Berechtigungen für den Zugriff auf Amazon-Linux-Repositorys und den Amazon-EMR-System-Bucket zum Sammeln von Spark-Ereignisprotokollen. Es werden einige Beispiele für Ressourcennamen für die Buckets angezeigt.

Weitere Informationen zur Verwendung von IAM-Richtlinien mit Amazon-VPC-Endpunkten finden Sie unter Endpunktrichtlinien für Amazon S3.

Das folgende Richtlinienbeispiel enthält Beispielressourcen in der Region us-east-1.

{
   "Version": "2008-10-17",
   "Statement": [
       {
           "Sid": "AmazonLinuxAMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::packages.us-east-1.amazonaws.com/*",
           	"arn:aws:s3:::repo.us-east-1.amazonaws.com/",
           	"arn:aws:s3:::repo.us-east-1.amazonaws.com/*"
           ]
       },
       {
           "Sid": "EnableApplicationHistory",
           "Effect": "Allow",
           "Principal": "*",
           "Action": [
               "s3:Put*",
               "s3:Get*",
               "s3:Create*",
               "s3:Abort*",
               "s3:List*"
           ],
           "Resource": [
           	"arn:aws:s3:::prod.us-east-1.appinfo.src/*"
           ]
       }
   ]
}

Die folgende Beispielrichtlinie stellt die Berechtigungen bereit, die für den Zugriff auf Amazon-Linux-2-Repositorys erforderlich sind. Amazon-Linux-2-AMI ist die Standardeinstellung.

{
   "Statement": [
       {
           "Sid": "AmazonLinux2AMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::amazonlinux.us-east-1.amazonaws.com/*",
           	"arn:aws:s3:::amazonlinux-2-repos-us-east-1/*"
           ]
       }
   ]
}

Verfügbare Regionen

Die folgende Tabelle enthält eine Liste von Buckets nach Regionen und enthält sowohl einen Amazon-Ressourcennamen (ARN) für das Repository als auch eine Zeichenfolge, die den ARN für den darstellt. appinfo.src Der ARN oder Amazon Resource Name ist eine Zeichenfolge, die eine AWS Ressource eindeutig identifiziert.