As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Perfil de instância do EC2 no Amazon EMR
<a name="emr-ranger-iam-ec2"></a>

O Amazon EMR usa um perfil de serviço do IAM para realizar ações a seu favor a fim de provisionar e gerenciar clusters. O perfil de serviço para instâncias do EC2 do cluster, também chamada de perfil de instância do EC2 para Amazon EMR, é um tipo especial de perfil de serviço atribuído ao iniciar cada instância do EC2 do cluster.

Para definir permissões para a interação do cluster EMR com dados do Amazon S3 e com o metastore Hive protegido pelo Apache Ranger e AWS outros serviços, defina um perfil de instância EC2 personalizado para usar em vez do quando você iniciar seu cluster. `EMR_EC2_DefaultRole`

Para obter mais informações, consulte [Perfil de serviço para instâncias do EC2 do cluster (perfil de instância do EC2)](emr-iam-role-for-ec2.md) e [Personalização de perfis do IAM com o Amazon EMR](emr-iam-roles-custom.md).

Você precisa adicionar as seguintes instruções ao perfil de instância EC2 padrão do Amazon EMR para poder marcar sessões e acessar AWS Secrets Manager o que armazena certificados TLS.

```
    {
      "Sid": "AllowAssumeOfRolesAndTagging",
      "Effect": "Allow",
      "Action": ["sts:TagSession", "sts:AssumeRole"],
      "Resource": [
        "arn:aws:iam::{{<AWS_ACCOUNT_ID>}}:role/{{<RANGER_ENGINE-PLUGIN_DATA_ACCESS_ROLE_NAME>}}",
        "arn:aws:iam::{{<AWS_ACCOUNT_ID>}}:role/{{<RANGER_USER_ACCESS_ROLE_NAME>}}"
      ]
    },
    {
        "Sid": "AllowSecretsRetrieval",
        "Effect": "Allow",
        "Action": "secretsmanager:GetSecretValue",
        "Resource": [
            "arn:aws:secretsmanager:{{<REGION>}}:{{<AWS_ACCOUNT_ID>}}:secret:{{<PLUGIN_TLS_SECRET_NAME>}}*",
            "arn:aws:secretsmanager:{{<REGION>}}:{{<AWS_ACCOUNT_ID>}}:secret:{{<ADMIN_RANGER_SERVER_TLS_SECRET_NAME>}}*"
        ]
    }
```

**nota**  
Para obter as permissões do Secrets Manager, não esqueça o caractere curinga (“\*”) no final do nome do segredo, senão as solicitações falharão. O curinga serve para versões de segredo.

**nota**  
Limite o escopo da AWS Secrets Manager política somente aos certificados necessários para o provisionamento.