Amazon S3 にアクセスするプライベートサブネットのサンプルポリシー

プライベートサブネットの場合、少なくとも Amazon Linux リポジトリにアクセスするための機能を Amazon EMR に提供する必要があります。このプライベートサブネットポリシーは、Simple Storage Service (Amazon S3) にアクセスするための VPC エンドポイントポリシーの一部です。

Amazon EMR 5.25.0 以降で永続 Spark 履歴サーバーへのワンクリックアクセスを有効にするには、Spark イベントログを収集するシステムバケットへのアクセスを Amazon EMR に許可する必要があります。ログ記録を有効にする場合は、次のバケットに PUT アクセス許可を付与します。

aws157-logs-${AWS::Region}/*

詳細については、「永続 Spark 履歴サーバーへのワンクリックアクセス」を参照してください。

ビジネスニーズに合ったポリシー制限は、お客様が決定します。以下のポリシー例では、Spark イベントログを収集するための Amazon Linux リポジトリおよび Amazon EMR システムバケットにアクセスするためのアクセス許可を提供します。バケットのリソース名の例をいくつか示します。

Amazon VPC エンドポイントでの IAM ポリシーの使用の詳細については、「Amazon S3 のエンドポイントポリシー」を参照してください。

次のポリシー例には、us-east-1 リージョンのサンプルリソースが含まれています。

{
   "Version": "2008-10-17",
   "Statement": [
       {
           "Sid": "AmazonLinuxAMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::packages.us-east-1.amazonaws.com/*",
           	"arn:aws:s3:::repo.us-east-1.amazonaws.com/",
           	"arn:aws:s3:::repo.us-east-1.amazonaws.com/*"
           ]
       },
       {
           "Sid": "EnableApplicationHistory",
           "Effect": "Allow",
           "Principal": "*",
           "Action": [
               "s3:Put*",
               "s3:Get*",
               "s3:Create*",
               "s3:Abort*",
               "s3:List*"
           ],
           "Resource": [
           	"arn:aws:s3:::prod.us-east-1.appinfo.src/*"
           ]
       }
   ]
}

以下の例のポリシーは、Amazon Linux 2 リポジトリへのアクセスに必要なアクセス許可を提供します。デフォルトは Amazon Linux 2 AMI です。

{
   "Statement": [
       {
           "Sid": "AmazonLinux2AMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::amazonlinux.us-east-1.amazonaws.com/*",
           	"arn:aws:s3:::amazonlinux-2-repos-us-east-1/*"
           ]
       }
   ]
}

利用できるリージョン

次の表には、リージョン別のバケットのリストと、リポジトリの Amazon リソースネーム (ARN) と、appinfo.src の ARN を表す文字列の両方が含まれています。ARN または Amazon リソースネームは、 AWS リソースを一意に識別する文字列です。