기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# Apache Ranger의 IAM 역할
<a name="emr-ranger-iam-ranger"></a>

이 역할은 Apache Hive 및 Amazon EMR Record Server와 같은 신뢰할 수 있는 실행 엔진이 Amazon S3 데이터에 액세스할 수 있도록 보안 인증을 제공합니다. S3 SSE-KMS를 사용하는 경우 KMS 키를 포함하여 Amazon S3 데이터에 액세스하는 데에만 이 역할을 사용합니다.

이 역할은 다음 예제에 명시된 최소 정책으로 생성되어야 합니다.

------
#### [ JSON ]

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "CloudwatchLogsPermissions",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:logs:*:123456789012:log-group:CLOUDWATCH_LOG_GROUP_NAME_IN_SECURITY_CONFIGURATION:*"
      ]
    },
    {
      "Sid": "BucketPermissionsInS3Buckets",
      "Action": [
        "s3:CreateBucket",
        "s3:DeleteBucket",
        "s3:ListAllMyBuckets",
        "s3:ListBucket"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket1",
        "arn:aws:s3:::amzn-s3-demo-bucket2"
      ]
    },
    {
      "Sid": "ObjectPermissionsInS3Objects",
      "Action": [
        "s3:GetObject",
        "s3:DeleteObject",
        "s3:PutObject"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:s3:::amzn-s3-demo-bucket1/*",
        "arn:aws:s3:::amzn-s3-demo-bucket2/*"
      ]
    }
  ]
}
```

------

**중요**  
로그 스트림에 쓰기 권한을 부여하려면 CloudWatch 로그 리소스 끝에 별표 '\*'를 포함해야 합니다.

**참고**  
EMRFS 일관된 보기 또는 S3-SSE 암호화를 사용하는 경우 DynamoDB 테이블 및 KMS 키에 권한을 추가하여 실행 엔진이 해당 엔진과 상호 작용할 수 있도록 합니다.

Apache Ranger의 IAM 역할은 EC2 인스턴스 프로파일 역할에서 수임합니다. 다음 예제를 사용하여 Apache Ranger에 대한 IAM 역할을 EC2 인스턴스 프로파일 역할에서 수임하도록 허용하는 신뢰 정책을 생성할 수 있습니다.

```
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::{{<AWS_ACCOUNT_ID>}}:role/{{<EC2 INSTANCE PROFILE ROLE NAME eg. EMR_EC2_DefaultRole>}}"
      },
      "Action": "sts:AssumeRole"
    }
```