設定向 Amazon S3 請求使用 EMRFS 的 IAM 角色

更新 IAM 角色的信任政策

前往 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

1. 選擇 Roles (角色)、在 Search (搜尋) 中輸入角色的名稱，然後選取它的 Role name (角色名稱)。

2. 選擇 Trust relationships (信任關係)、Edit trust relationship (編輯信任關係)。

3. 依照上述指導方針，根據政策文件新增信任陳述式，然後選擇更新信任政策。

使用主控台指定向 Amazon S3 請求使用 EMRFS 的 IAM 角色

1. 建立指定角色映射的安全組態：

   1. 在 Amazon EMR 主控台中，選取安全組態和建立。

   2. 輸入安全組態的 Name (名稱)。您建立叢集時會使用此名稱來指定安全組態。

   3. 選擇向 Amazon S3 請求使用 EMRFS 的 IAM 角色。

   4. 選取要套用的 IAM 角色)，然後在存取的基準下，從清單中選取識別符類型 (使用者、群組或 S3 字首)，並輸入對應的識別符。如果您使用多個識別符，以逗號和不含空格的方式分隔識別符。如需每個識別符類型的詳細資訊，請參閱下面的「JSON configuration reference」。

   5. 選擇 Add role (新增角色)，來設定如先前步驟中所述的額外角色對應。

   6. 適當地設定其他的安全組態選項，然後選擇 Create (建立)。如需詳細資訊，請參閱使用 Amazon EMR 主控台或使用 建立安全組態 AWS CLI。

2. 建立叢集時指定您在上面建立的安全組態。如需詳細資訊，請參閱指定 Amazon EMR 叢集的安全組態。

使用 為 Amazon S3 的 EMRFS 請求指定 IAM 角色 AWS CLI

1. 使用 aws emr create-security-configuration 命令，指定安全組態的名稱，以及採用 JSON 格式的安全組態詳細資訊。

   以下所示範例命令建立名稱為 EMRFS_Roles_Security_Configuration 的安全組態。這是以 MyEmrfsSecConfig.json 檔案中的 JSON 結構為基礎，其儲存在與命令執行的相同目錄中。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   使用下列針對 MyEmrFsSecConfig.json 檔案結構的指導方針。您可以指定此結構以及其他安全組態選項的結構。如需詳細資訊，請參閱使用 Amazon EMR 主控台或使用 建立安全組態 AWS CLI。

   以下是 JSON 程式碼片段範例，用於在安全組態內為 EMRFS 指定自訂 IAM 角色。它示範了三種不同標識符類型的角色映射，後接參數參考。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   參數	Description
   "AuthorizationConfiguration":	必要.
   "EmrFsConfiguration":	必要. 包含角色映射。
   "RoleMappings":	必要. 包含一或多個角色映射定義。角色映射以顯示的由上而下順序進行評估。如果對於 Amazon S3 中的資料的 EMRFS 呼叫，角色映射評估為 true，則不會評估進一步的角色映射，且 EMRFS 會為請求使用指定的 IAM 角色。角色映射包含下列必要參數：
   "Role":	以格式 arn:aws:iam::account-id:role/role-name 指定 IAM 角色的 ARN 識別符。如果向 Amazon S3 發出的 EMRFS 請求符合任何指定的 Identifiers，則這是 Amazon EMR 擔任的 IAM 角色。
   "IdentifierType":	可為下列其中之一： "User" 指定識別符是一或多個 Hadoop 使用者，這些使用者可以是 Linux 帳戶使用者或 Kerberos 主體。當 EMRFS 請求源自指定的一個或多個使用者時，會擔任 IAM 角色。 "Prefix" 指定此識別符為 Amazon S3 位置。對於具有指定字首的一個或多個位置的呼叫，會擔任 IAM 角色。例如，字首 s3://amzn-s3-demo-bucket/ 符合 s3://amzn-s3-demo-bucket/mydir 和 s3://amzn-s3-demo-bucket/yetanotherdir。 "Group" 指定識別符是一或多個 Hadoop 群組。如果請求源自指定群組中的使用者，則會擔任 IAM 角色。
   "Identifiers":	指定適當識別符類型的一或多個識別符。以逗號分隔多個識別符，不含空格。

2. 使用 aws emr create-cluster 命令來建立叢集並指定您在上一個步驟建立的安全組態。

   以下範例在安裝預設核心 Hadoop 應用程式下建立叢集。該叢集會使用上面建立為 EMRFS_Roles_Security_Configuration 的安全組態，也會使用 EC2 的自訂 Amazon EMR 角色 EC2_Role_EMR_Restrict_S3，這個角色是透過 --ec2-attributes 參數的 InstanceProfile 引數所指定。

   注意

   包含 Linux 行接續字元 (\) 是為了提高可讀性。它們可以在 Linux 命令中移除或使用。對於 Windows，請將其移除或取代為插入符號 (^)。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.12.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration