翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# Apache Ranger の IAM ロール
<a name="emr-ranger-iam-ranger"></a>

このロールは、Apache Hive や Amazon EMR Record Server などの信頼できる実行エンジンが Amazon S3 データにアクセスするための認証情報を提供します。S3 SSE-KMS を使用している場合は、このロールだけを使用して、KMS キーを含む Amazon S3 データにアクセスします。

このロールは、次の例に示す最小ポリシーで作成する必要があります。

------
#### [ JSON ]

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CloudwatchLogsPermissions",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:logs:*:123456789012:log-group:CLOUDWATCH_LOG_GROUP_NAME_IN_SECURITY_CONFIGURATION:*"
      ]
    },
    {
      "Sid": "BucketPermissionsInS3Buckets",
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:ListAllMyBuckets",
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket1",
        "arn:aws:s3:::amzn-s3-demo-bucket2"
      ]
    },
    {
      "Sid": "ObjectPermissionsInS3Objects",
      "Action": [
        "s3:GetObject",
        "s3:DeleteObject",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket1/*",
        "arn:aws:s3:::amzn-s3-demo-bucket2/*"
      ]
    }
  ]
}
```

------

**重要**  
ログストリームへの書き込みアクセス許可を提供するには、CloudWatch ログリソースの末尾にアスタリスク「\*」を含める必要があります。

**注記**  
EMRFS 整合性ビューまたは S3-SSE 暗号化を使用している場合は、実行エンジンがこれらのエンジンと対話できるように、DynamoDB テーブルおよび KMS キーへのアクセス許可を追加します。

Apache Ranger の IAM ロールは EC2 インスタンスプロファイルロールによって引き受けられます。次の例を使用して、Apache Ranger の IAM ロールが EC2 インスタンスプロファイルロールによって引き受けられるようにする信頼ポリシーを作成します。

```
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::{{<AWS_ACCOUNT_ID>}}:role/{{<EC2 INSTANCE PROFILE ROLE NAME eg. EMR_EC2_DefaultRole>}}"
      },
      "Action": ["sts:AssumeRole", "sts:TagSession"]
    }
```