翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# EMR セキュリティ設定を作成する


**Apache Ranger 用の Amazon EMR セキュリティ設定を作成する**

Apache Ranger と統合された Amazon EMR クラスターを起動する前に、セキュリティ設定を作成します。

------
#### [ Console ]

**AWS Ranger 統合オプションを指定するセキュリティ設定を作成するには**

1. Amazon EMR コンソールで **[Security configurations]** (セキュリティ設定) > **[Create]** (作成) を選択します。

1. セキュリティ設定の [**Name (名前)**] を入力します。この名前を使用して、クラスターの作成時に使用するセキュリティ設定を指定します。

1. **[AWS Ranger 統合]** で **[Apache Ranger が管理するきめ細かいアクセスコントロールを有効にする]** を選択します。

1. 適用する **[IAM role for Apache Ranger]** (Apache Ranger 用の IAM ロール) を選択します。詳細については、「[Apache Ranger とのネイティブ統合のための IAM ロール](emr-ranger-iam.md)」を参照してください。

1. 適用する **[IAM role for other services]** (他の AWS のサービス用 IAM ロール) を選択します。

1. 管理サーバーのシークレットマネージャー ARN とアドレスを入力して、Ranger 管理サーバーに接続するようにプラグインを設定します。

1. Ranger プラグインを設定するアプリケーションを選択します。プラグインのプライベート TLS 証明書を含むシークレットマネージャー ARN を入力します。

   Apache Spark または Apache Hive が設定されていないが、クラスターのアプリケーションとして選択されている場合、リクエストは失敗します。

1. 必要に応じて他のセキュリティ設定オプションを設定し、[**Create (作成)**] を選択します。クラスター専用 KDC または外部 KDC を使用して Kerberos 認証を有効にする必要があります。

**注記**  
現在、 コンソールを使用して、 で AWS Ranger 統合オプションを指定するセキュリティ設定を作成することはできません AWS GovCloud (US) Region。セキュリティ設定は CLI を使用して実行できます。

------
#### [ CLI ]

**Apache Ranger 統合のセキュリティ設定を作成するには**

1. を AWS アカウント ID `<ACCOUNT ID>`に置き換えます。

1. `<REGION>` を、リソースが置かれているリージョンに置き換えます。

1. `TicketLifetimeInHours` の値を指定して、KDC によって発行された Kerberos チケットが有効である期間を決定します。

1. `AdminServerURL` に Ranger 管理サーバーのアドレスを指定します。

```
{
    "AuthenticationConfiguration": {
        "KerberosConfiguration": {
            "Provider": "ClusterDedicatedKdc",
            "ClusterDedicatedKdcConfiguration": {
                "TicketLifetimeInHours": 24
            }
        }
    },
    "AuthorizationConfiguration":{
      "RangerConfiguration":{
         "AdminServerURL":"https://_<RANGER ADMIN SERVER IP>_:6182",
         "RoleForRangerPluginsARN":"arn:aws:iam::_<ACCOUNT ID>_:role/_<RANGER PLUGIN DATA ACCESS ROLE NAME>_",
         "RoleForOtherAWSServicesARN":"arn:aws:iam::_<ACCOUNT ID>_:role/_<USER ACCESS ROLE NAME>_",
         "AdminServerSecretARN":"arn:aws:secretsmanager:_<REGION>_:_<ACCOUNT ID>_:secret:_<SECRET NAME THAT PROVIDES ADMIN SERVERS PUBLIC TLS CERTIFICATE WITHOUT VERSION>_",
         "RangerPluginConfigurations":[
            {
               "App":"Spark",
               "ClientSecretARN":"arn:aws:secretsmanager:_<REGION>_:_<ACCOUNT ID>_:secret:_<SECRET NAME THAT PROVIDES SPARK PLUGIN PRIVATE TLS CERTIFICATE WITHOUT VERSION>_",
               "PolicyRepositoryName":"<SPARK SERVICE NAME eg. amazon-emr-spark>"
            },
            {
               "App":"Hive",
               "ClientSecretARN":"arn:aws:secretsmanager:_<REGION>_:_<ACCOUNT ID>_:secret:_<SECRET NAME THAT PROVIDES Hive PLUGIN PRIVATE TLS CERTIFICATE WITHOUT VERSION>_",
               "PolicyRepositoryName":"<HIVE SERVICE NAME eg. Hivedev>"
            },
            {
               "App":"EMRFS-S3",
               "ClientSecretARN":"arn:aws:secretsmanager:_<REGION>_:_<ACCOUNT ID>_:secret:_<SECRET NAME THAT PROVIDES EMRFS S3 PLUGIN PRIVATE TLS CERTIFICATE WITHOUT VERSION>_",
               "PolicyRepositoryName":"<EMRFS S3 SERVICE NAME eg amazon-emr-emrfs>"
            }, 
	      {
               "App":"Trino",
               "ClientSecretARN":"arn:aws:secretsmanager:_<REGION>_:_<ACCOUNT ID>_:secret:_<SECRET NAME THAT PROVIDES TRINO PLUGIN PRIVATE TLS CERTIFICATE WITHOUT VERSION>_",
               "PolicyRepositoryName":"<TRINO SERVICE NAME eg amazon-emr-trino>"
            }
         ],
         "AuditConfiguration":{
            "Destinations":{
               "AmazonCloudWatchLogs":{
                  "CloudWatchLogGroup":"arn:aws:logs:<REGION>:_<ACCOUNT ID>_:log-group:_<LOG GROUP NAME FOR AUDIT EVENTS>_"
               }
            }
         }
      }
   }
}
```

PolicyRespositoryNames は、Apache Ranger 管理で指定されているサービス名です。

次のコマンドを使用して、Amazon EMR セキュリティ設定を作成します。security-configuration は、任意の名前に置き換えます。クラスターの作成時に、この設定を名前で選択します。

```
aws emr create-security-configuration \
--security-configuration file://./security-configuration.json \
--name security-configuration
```

------

**追加のセキュリティ機能を設定する**

Amazon EMR を Apache Ranger に安全に統合するには、次の EMR セキュリティ機能も設定する必要があります。
+ クラスター専用 KDC または外部 KDC を使用して Kerberos 認証を有効にします。手順については、「[Amazon EMR での認証に Kerberos を使用する](emr-kerberos.md)」を参照してください。
+ (オプション) 転送中または保管中の暗号化を有効にします。詳細については、「[Amazon EMR 暗号化オプション](emr-data-encryption-options.md)」を参照してください。

詳細については、「[Amazon EMR でのセキュリティ](emr-security.md)」を参照してください。