クロスアカウントアクセスのセットアップ

AccountB で DynamoDB テーブルを作成します。詳細については、ステップ 1: テーブルを作成するを参照してください。

AccountB に、DynamoDB テーブルにアクセスできる Cross-Account-Role-B IAM ロールを作成します。

1. にサインイン AWS マネジメントコンソール し、https://console.aws.amazon.com/iam/ で IAM コンソールを開きます。

2. [ロール] を選択し、Cross-Account-Role-B という新しいロールを作成します。IAM ロールの作成方法の詳細については、ユーザーガイドの「IAM ロールの作成」を参照してください。

3. クロスアカウント DynamoDB テーブルへのアクセス権限を付与する IAM ポリシーを作成します。IAM ポリシーを Cross-Account-Role-B にアタッチします。

   DynamoDB テーブル CrossAccountTable へのアクセスを許可するポリシーを次に示します。

4. Cross-Account-Role-B ロールの信頼関係を編集します。

   ロールの信頼関係を設定するには、IAM コンソールで、ステップ 2: Cross-Account-Role-B で作成したロールの [信頼関係] タブを選択します。

   [信頼関係の編集] を選択し、次のポリシードキュメントを追加します。このドキュメントでは、AccountA の Job-Execution-Role-A がこの Cross-Account-Role-B ロールを引き受けることを許可します。

   JSON

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "sts:AssumeRole"
         ],
         "Resource": "arn:aws:iam::123456789012:role/Job-Execution-Role-A",
         "Sid": "AllowSTSAssumerole"
       }
     ]
   }
   

5. - STS Assume role を持つ AccountA の Job-Execution-Role-A に、Cross-Account-Role-B を引き受けるアクセス権限を付与します。

   の IAM コンソールで AWS アカウント AccountA、 を選択しますJob-Execution-Role-A。次のポリシーステートメントを Job-Execution-Role-A に追加して、Cross-Account-Role-B ロールに対して AssumeRole アクションを許可します。

   JSON

   {
     "Version":"2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "sts:AssumeRole"
         ],
         "Resource": [
           "arn:aws:iam::123456789012:role/Cross-Account-Role-B"
         ],
         "Sid": "AllowSTSAssumerole"
       }
     ]
   }
   

6. core-site 分類で値を com.amazonaws.emr.AssumeRoleAWSCredentialsProvider として dynamodb.customAWSCredentialsProvider プロパティを設定します。環境変数 ASSUME_ROLE_CREDENTIALS_ROLE_ARN に ARN 値 Cross-Account-Role-B を設定します。

Job-Execution-Role-A を使用して Spark ジョブまたは Hive ジョブを実行します。