IAMServicerollen für EMR Amazon-Berechtigungen für AWS Dienste und Ressourcen konfigurieren

Amazon EMR und Anwendungen wie Hadoop und Spark benötigen Berechtigungen, um auf andere AWS Ressourcen zuzugreifen und Aktionen auszuführen, wenn sie ausgeführt werden. Jeder Cluster in Amazon EMR muss eine Servicerolle und eine Rolle für das EC2 Amazon-Instance-Profil haben. Weitere Informationen finden Sie unter IAMRollen und Verwenden von Instance-Profilen im IAMBenutzerhandbuch. Die mit diesen Rollen verknüpften IAM Richtlinien gewähren dem Cluster die Erlaubnis, im Namen eines Benutzers mit anderen AWS Diensten zusammenzuarbeiten.

Eine zusätzliche Rolle, die Auto Scaling-Rolle, ist erforderlich, wenn Ihr Cluster Auto Scaling in Amazon verwendetEMR. Die AWS Servicerolle für EMR Notebooks ist erforderlich, wenn Sie EMR Notebooks verwenden.

Amazon EMR bietet Standardrollen und verwaltete Standardrichtlinien, die die Berechtigungen für jede Rolle festlegen. Verwaltete Richtlinien werden von erstellt und verwaltet AWS, sodass sie automatisch aktualisiert werden, wenn sich die Serviceanforderungen ändern. Informationen zu AWS verwalteten Richtlinien finden Sie im IAMBenutzerhandbuch.

Wenn Sie zum ersten Mal einen Cluster oder ein Notebook in einem Konto erstellen, sind Rollen für Amazon noch EMR nicht vorhanden. Nachdem Sie sie erstellt haben, können Sie die Rollen, die ihnen zugewiesenen Richtlinien und die durch die Richtlinien erlaubten oder verweigerten Berechtigungen in der IAM Konsole anzeigen (https://console.aws.amazon.com/iam/). Sie können Standardrollen angeben, die Amazon erstellen und verwenden EMR soll, Sie können Ihre eigenen Rollen erstellen und diese individuell angeben, wenn Sie einen Cluster erstellen, um Berechtigungen anzupassen, und Sie können Standardrollen angeben, die verwendet werden sollen, wenn Sie einen Cluster mit dem erstellen AWS CLI. Weitere Informationen finden Sie unter Passen Sie IAM Rollen an.

Änderung identitätsbasierter Richtlinien für Berechtigungen zur Weitergabe von Servicerollen für Amazon EMR

Die standardmäßigen verwalteten Richtlinien von Amazon mit EMR vollen Berechtigungen beinhalten iam:PassRole Sicherheitskonfigurationen, darunter die folgenden:

• iam:PassRoleBerechtigungen nur für bestimmte EMR Amazon-Standardrollen.

• iam:PassedToServiceBedingungen, die es Ihnen ermöglichen, die Richtlinie nur mit bestimmten AWS Diensten zu verwenden, z. B. elasticmapreduce.amazonaws.com undec2.amazonaws.com.

Sie können die JSON Version der Richtlinien A mazonEMRFull AccessPolicy _v2 und A mazonEMRService Policy_v2 in der Konsole einsehen. IAM Wir empfehlen, dass Sie neue Cluster mit den verwalteten v2-Richtlinien erstellen.

Übersicht über Servicerollen

In der folgenden Tabelle sind die mit Amazon EMR verknüpften IAM Servicerollen als Kurzreferenz aufgeführt.

Funktion	Standardrolle	Beschreibung	Verwaltete Standardrichtlinie
Servicerolle für Amazon EMR (EMRRolle)	EMR_DefaultRole_V2	Ermöglicht AmazonEMR, andere AWS Services in Ihrem Namen aufzurufen, wenn Ressourcen bereitgestellt und Service-Level-Aktionen ausgeführt werden. Diese Rolle ist für alle Cluster erforderlich.	AmazonEMRServicePolicy_v2 Wichtig Zum Anfordern von Spot Instances ist eine serviceverknüpfte Rolle erforderlich. Wenn diese Rolle nicht existiert, muss die EMR Amazon-Servicerolle über die Berechtigung verfügen, sie zu erstellen, andernfalls tritt ein Berechtigungsfehler auf. Wenn Sie Spot Instances anfordern möchten, müssen Sie diese Richtlinie so aktualisieren, dass sie eine Erklärung enthält, die die Erstellung dieser serviceverknüpften Rolle ermöglicht. Weitere Informationen finden Sie unter Servicerolle für Amazon EMR (EMRRolle) und serviceverknüpfte Rolle für Spot-Instance-Anfragen im EC2Amazon-Benutzerhandbuch.
Servicerolle für EC2 Cluster-Instances (EC2Instance-Profil)	EMR_EC2_DefaultRole	Anwendungsprozesse, die auf dem Hadoop-Ökosystem auf Cluster-Instances ausgeführt werden, verwenden diese Rolle, wenn sie andere AWS Dienste aufrufen. Für den Zugriff auf Daten in Amazon S3 können Sie je nach Speicherort der Daten in Amazon S3 verschiedene Rollen angeben, die übernommen werden sollen. EMRFS Beispielsweise können mehrere Teams auf ein einzelnes „Datenspeicherkonto“ von Amazon S3 zugreifen. Weitere Informationen finden Sie unter IAMRollen für EMRFS Anfragen an Amazon S3 konfigurieren. Diese Rolle ist für alle Cluster erforderlich.	AmazonElasticMapReduceforEC2Role. Weitere Informationen finden Sie unter Servicerolle für EC2 Cluster-Instances (EC2Instance-Profil).
Servicerolle für Auto Scaling in Amazon EMR (Auto Scaling-Rolle)	EMR_AutoScaling_DefaultRole	Ermöglicht zusätzliche Aktionen für dynamisch skalierte Umgebungen. Nur für Cluster erforderlich, die automatische Skalierung in Amazon verwendenEMR. Weitere Informationen finden Sie unter Verwenden der automatischen Skalierung mit einer benutzerdefinierten Richtlinie für Instance-Gruppen.	AmazonElasticMapReduceforAutoScalingRole. Weitere Informationen finden Sie unter Servicerolle für Auto Scaling in Amazon EMR (Auto Scaling-Rolle).
Servicerolle für EMR Notebooks	EMR_Notebooks_DefaultRole	Stellt Berechtigungen bereit, die ein EMR Notebook benötigt, um auf andere AWS Ressourcen zuzugreifen und Aktionen auszuführen. Nur erforderlich, wenn EMR Notebooks verwendet wird.	AmazonElasticMapReduceEditorsRole. Weitere Informationen finden Sie unter Servicerolle für EMR Notebooks. S3FullAccessPolicy wird auch standardmäßig angehängt. Im Folgenden finden Sie den Inhalt dieser Richtlinie.. { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "s3:*", "Resource": "*" } ] }
Serviceverknüpfte Rolle	AWSServiceRoleForEMRCleanup	Amazon erstellt EMR automatisch eine servicebezogene Rolle. Wenn der Service für Amazon nicht EMR mehr in der Lage ist, EC2 Amazon-Ressourcen zu bereinigen, EMR kann Amazon diese Rolle zum Aufräumen verwenden. Wenn ein Cluster Spot-Instances verwendet, muss die Berechtigungsrichtlinie, die der Servicerolle für Amazon EMR (EMRRolle) angefügt ist, die Erstellung einer serviceverknüpften Rolle zulassen. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für Amazon EMR.	AmazonEMRCleanupPolicy

Themen

• IAMVon Amazon verwendete Servicerollen EMR
• Passen Sie IAM Rollen an
• IAMRollen für EMRFS Anfragen an Amazon S3 konfigurieren
• Verwenden Sie ressourcenbasierte Richtlinien für den EMR Zugriff von Amazon auf AWS Glue Data Catalog
• Verwenden Sie IAM Rollen mit Anwendungen, die AWS Dienste direkt aufrufen
• Benutzern und Gruppen gestatten, Rollen zu erstellen und zu ändern