Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Elastic MapReduce

Amazon Elastic MapReduce (Servicepräfix: elasticmapreduce) stellt die folgenden servicespezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel für die Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

• Erfahren Sie, wie Sie diesen Service konfigurieren.

• Zeigen Sie eine Liste der API-Vorgänge an, die für diesen Service verfügbar sind.

• Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.

Von Amazon Elastic definierte Aktionen MapReduce

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWSzu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Anmerkung

Die DescribeJobFlows API ist veraltet und wird schließlich entfernt. Wir empfehlen Ihnen ListClusters, stattdessen DescribeCluster, ListInstanceGroups und ListBootstrapActions zu verwenden ListSteps.

Aktionen	Beschreibung	Zugriffsebene	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Abhängige Aktionen
AddInstanceFleet	Gewährt die Berechtigung zum Hinzufügen einer Instance-Flotte zu einem aktiven Cluster	Schreiben	cluster*
AddInstanceGroups	Gewährt die Berechtigung zum Hinzufügen von Instance-Gruppen zu einem aktiven Cluster	Schreiben	cluster*
AddJobFlowSteps	Gewährt die Berechtigung zum Hinzufügen neuer Schritte zu einem aktiven Cluster	Schreiben	cluster*
				elasticmapreduce:ExecutionRoleArn
AddTags	Gewährt die Berechtigung zum Hinzufügen von Tags zu einer Amazon-EMR-Ressource	Tagging	cluster
			editor
			notebook-execution
			studio
				aws:RequestTag/${TagKey} aws:TagKeys elasticmapreduce:RequestTag/${TagKey}
AttachEditor [nur Berechtigung]	Gewährt die Berechtigung zum Anfügen eines EMR-Notebooks an eine Computing-Engine	Schreiben	editor*
CancelSteps	Gewährt die Berechtigung zum Abbrechen einzelner oder mehrerer Schritte in einem aktiven Cluster	Schreiben	cluster*
CreateEditor [nur Berechtigung]	Gewährt die Berechtigung zum Erstellen eines EMR-Notebooks	Schreiben	cluster
				aws:RequestTag/${TagKey} aws:TagKeys elasticmapreduce:RequestTag/${TagKey}
CreatePersistentAppUI	Gewährt die Berechtigung zum Erstellen eines persistenten Anwendungsverlaufsservers	Schreiben	cluster*
CreateRepository [nur Berechtigung]	Gewährt die Berechtigung zum Erstellen einer EMR-Notebook-Repository	Schreiben
CreateSecurityConfiguration	Gewährt die Berechtigung zum Erstellen einer Sicherheitskonfiguration.	Schreiben
CreateStudio	Gewährt die Berechtigung zum Erstellen eines EMR-Studios	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys elasticmapreduce:RequestTag/${TagKey}
CreateStudioPresignedUrl	Gewährt die Berechtigung zum Starten eines EMR-Studios im IAM-Authentifizierungsmodus	Schreiben	studio*
CreateStudioSessionMapping	Gewährt die Berechtigung zum Erstellen einer EMR-Studio-Sitzungsmapping	Schreiben	studio*
DeleteEditor [nur Berechtigung]	Gewährt die Berechtigung zum Löschen eines EMR-Notebooks	Schreiben	editor*
DeleteRepository [nur Berechtigung]	Gewährt die Berechtigung zum Löschen eines EMR-Notebook-Repositorys	Schreiben
DeleteSecurityConfiguration	Gewährt die Berechtigung zum Löschen einer Sicherheitskonfiguration.	Schreiben
DeleteStudio	Gewährt die Berechtigung zum Löschen eines EMR-Studios	Schreiben	studio*
DeleteStudioSessionMapping	Gewährt die Berechtigung zum Löschen einer EMR-Studio-Sitzungsmapping	Schreiben	studio*
DeleteWorkspaceAccess [nur Berechtigung]	Erteilt die Berechtigung, eine Identität daran zu hindern, einen kollaborativen WorkSpace zu öffnen	Berechtigungsverwaltung	editor*
DescribeCluster	Gewährt die Berechtigung zum Abrufen von Details über einen Cluster, einschließlich Status, Hardware- und Softwarekonfiguration, VPC-Einstellungen und so weiter	Lesen	cluster*
DescribeEditor [nur Berechtigung]	Gewährt die Berechtigung zum Anzeigen von Informationen zu einem Notebook, einschließlich Status, Benutzer, Rolle, Tags, Speicherort und vieles mehr	Lesen	editor*
DescribeJobFlows	Gewährt die Berechtigung zum Beschreiben von Details von Clustern (Auftragsabläufe). Diese API ist veraltet und wird letztendlich entfernt werden. Wir empfehlen Ihnen ListClusters, ListBootstrapActions stattdessen DescribeCluster, ListInstanceGroups und zu verwenden ListSteps.	Lesen	cluster*
DescribeNotebookExecution	Gewährt die Berechtigung zum Anzeigen von Informationen über eine Notebook-Ausführung	Lesen	notebook-execution*
DescribePersistentAppUI	Gewährt die Berechtigung zum Beschreiben eines persistenten Anwendungsverlaufsservers	Lesen	cluster*
DescribeReleaseLabel	Gewährt die Berechtigung zum Anzeigen von Informationen über eine EMR-Version, z. B., welche Anwendungen unterstützt werden	Lesen
DescribeRepository [nur Berechtigung]	Gewährt die Berechtigung zum Beschreiben eines EMR-Notebook-Repositorys	Lesen
DescribeSecurityConfiguration	Gewährt die Berechtigung zum Abrufen von Details einer Sicherheitskonfiguration	Lesen
DescribeStep	Gewährt die Berechtigung zum Abrufen von Details über einen Cluster-Schritt	Lesen	cluster*
DescribeStudio	Gewährt die Berechtigung zum Anzeigen von Informationen über ein EMR-Studio	Lesen	studio*
DetachEditor [nur Berechtigung]	Gewährt die Berechtigung zum Trennen eines EMR-Notebooks von einer Computing-Engine	Schreiben	editor*
GetAutoTerminationPolicy	Gewährt die Berechtigung zum Abrufen der einem Cluster zugeordneten Richtlinie für die automatische Beendigung	Lesen	cluster*
GetBlockPublicAccessConfiguration	Gewährt die Berechtigung zum Abrufen der EMR-Block-Konfiguration für den öffentlichen Zugriff für das AWS-Konto in der Region	Lesen
GetClusterSessionCredentials	Gewährt die Berechtigung zum Abrufen von grundlegenden HTTP-Anmeldeinformationen, die mit einer bestimmten IAM-Ausführungsrolle für einen EMR-Cluster mit differenzierter Zugriffskontrolle verknüpft sind	Schreiben	cluster*
				elasticmapreduce:ExecutionRoleArn
GetManagedScalingPolicy	Gewährt die Berechtigung zum Abrufen der verwalteten Skalierungsrichtlinie, die einem Cluster zugeordnet ist	Lesen	cluster*
GetOnClusterAppUIPresignedURL	Gewährt die Berechtigung zum Abrufen einer vorsignierten URL für einen Anwendungsverlaufsserver, der auf dem Cluster ausgeführt wird	Schreiben	cluster*
GetPersistentAppUIPresignedURL	Gewährt die Berechtigung zum Abrufen einer vorsignierten URL für einen persistenten Anwendungsverlaufsserver	Schreiben	cluster*
GetStudioSessionMapping	Gewährt die Berechtigung zum Anzeigen von Informationen über eine EMR-Sitzungsmapping	Lesen	studio*
LinkRepository [nur Berechtigung]	Gewährt die Berechtigung zum Verknüpfen eines EMR-Notebook-Repositorys mit EMR-Notebooks	Schreiben
ListBootstrapActions	Gewährt die Berechtigung zum Abrufen von Details über die Bootstrap-Aktionen, die mit einem Cluster verknüpft sind	Lesen	cluster*
ListClusters	Gewährt die Berechtigung zum Abrufen des Status zugänglicher Cluster	Auflisten
ListEditors [nur Berechtigung]	Gewährt die Berechtigung zum Auflisten von Übersichtsinformationen zugänglicher EMR-Notebooks	Auflisten
ListInstanceFleets	Gewährt die Berechtigung zum Abrufen von Details über die Instance-Flotten in einem Cluster	Lesen	cluster*
ListInstanceGroups	Gewährt die Berechtigung zum Abrufen von Details über die Instance-Gruppen in einem Cluster	Lesen	cluster*
ListInstances	Gewährt die Berechtigung zum Abrufen von Details über die Amazon-EC2-Instances in einem Cluster	Lesen	cluster*
ListNotebookExecutions	Gewährt die Berechtigung zum Auflisten von Übersichtsinformationen für Notebook-Ausführungen	Auflisten
ListReleaseLabels	Gewährt die Berechtigung zum Auflisten und Filtern der verfügbaren EMR-Versionen in der aktuellen Region	Auflisten
ListRepositories [nur Berechtigung]	Gewährt die Berechtigung zum Auflisten bestehender EMR-Notebook-Repositorys	Auflisten
ListSecurityConfigurations	Gewährt die Berechtigung zum Auflisten verfügbarer Sicherheitskonfigurationen in diesem Konto nach Namen sowie Datum und Uhrzeit der Erstellung	Auflisten
ListSteps	Gewährt die Berechtigung zum Auflisten von Schritten, die mit einem Cluster verknüpft sind	Lesen	cluster*
ListStudioSessionMappings	Gewährt die Berechtigung zum Auflisten zusammenfassender Informationen über EMR-Studio-Sitzungsmappings	Auflisten
ListStudios	Gewährt die Berechtigung zum Auflisten zusammenfassender Informationen über EMR-Studios	Auflisten
ListSupportedInstanceTypes	Gewährt die Berechtigung, die Amazon-EC2-Instance-Typen aufzulisten, die von einer Amazon-EMR-Version unterstützt werden	Auflisten
ListWorkspaceAccessIdentities [nur Berechtigung]	Erteilt die Berechtigung zum Auflisten von Identitäten, denen Zugriff auf einen Workspace gewährt wurde	Auflisten	editor*
ModifyCluster	Gewährt die Berechtigung, Clustereinstellungen zu ändern, wie z. B. die Anzahl der Schritte, die gleichzeitig für einen Cluster ausgeführt werden können	Schreiben	cluster*
ModifyInstanceFleet	Gewährt die Berechtigung zum Ändern der On-Demand- und Spot-Zielkapazitäten für eine Instance-Flotte	Schreiben	cluster*
ModifyInstanceGroups	Gewährt die Berechtigung zum Ändern der Anzahl und Konfiguration von EC2-Instances für eine Instance-Gruppe	Schreiben	cluster
OpenEditorInConsole [nur Berechtigung]	Gewährt die Berechtigung zum Starten des Jupyter-Notebook-Editors für ein EMR-Notebook innerhalb der Konsole	Schreiben	editor*
			cluster
PutAutoScalingPolicy	Gewährt die Berechtigung zum Erstellen oder Aktualisieren einer Auto-Scaling-Richtlinie für eine Core-Instance-Gruppe oder Aufgabe-Instance-Gruppe.	Schreiben	cluster*
PutAutoTerminationPolicy	Gewährt die Berechtigung zum Erstellen oder Aktualisieren der einem Cluster zugeordneten Richtlinie für die automatische Beendigung	Schreiben	cluster*
PutBlockPublicAccessConfiguration	Gewährt die Berechtigung zum Erstellen oder Aktualisieren der EMR-Block-Konfiguration für den öffentlichen Zugriff für das AWS-Konto in der Region	Berechtigungsverwaltung
PutManagedScalingPolicy	Gewährt die Berechtigung zum Erstellen oder Aktualisieren der verwalteten Skalierungsrichtlinie, die einem Cluster zugeordnet ist	Schreiben	cluster*
PutWorkspaceAccess [nur Berechtigung]	Erteilt die Berechtigung, einer Identität das Öffnen eines kollaborativen Workspace zu erlauben	Berechtigungsverwaltung	editor*
RemoveAutoScalingPolicy	Gewährt die Berechtigung zum Entfernen einer Auto-Scaling-Richtlinie aus einer Instance-Gruppe.	Schreiben	cluster*
RemoveAutoTerminationPolicy	Gewährt die Berechtigung zum Entfernen der einem Cluster zugeordneten Richtlinie für die automatische Beendigung	Schreiben	cluster*
RemoveManagedScalingPolicy	Gewährt die Berechtigung zum Entfernen der verwalteten Skalierungsrichtlinie, die einem Cluster zugeordnet ist	Schreiben	cluster*
RemoveTags	Gewährt die Berechtigung zum Entfernen von Tags aus einer Amazon-EMR-Ressource.	Tagging	cluster
			editor
			notebook-execution
			studio
				aws:TagKeys
RunJobFlow	Gewährt die Berechtigung zum Erstellen und Starten eines Clusters (Auftragsverlauf)	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys elasticmapreduce:RequestTag/${TagKey}	iam:PassRole
SetKeepJobFlowAliveWhenNoSteps	Gewährt die Berechtigung zum Hinzufügen und Entfernen von automatischem Beenden nach der Schrittausführung für einen Cluster	Schreiben	cluster*
SetTerminationProtection	Gewährt die Berechtigung zum Hinzufügen und Entfernen des Beendigungsschutzes für einen Cluster	Schreiben	cluster*
SetUnhealthyNodeReplacement	Gewährt die Berechtigung zum Aktivieren oder Deaktivieren des fehlerhaften Knotenaustauschs für einen Cluster	Schreiben	cluster*
SetVisibleToAllUsers	Gewährt die Berechtigung zum Festlegen, ob alle AWS Identity and Access Management (IAM)-Benutzer in der einen Cluster anzeigen AWS-Konto können. Diese API ist veraltet und Ihr Cluster ist möglicherweise für alle Benutzer in Ihrem Konto sichtbar. Informationen zum Einschränken des Clusterzugriffs mithilfe einer IAM-Richtlinie finden Sie unter AWS Identity and Access Management für Amazon EMR (https://docs.aws.amazon.com/emr/latest/ManagementGuide/emr-plan-access-iam.html)	Schreiben	cluster*
StartEditor [nur Berechtigung]	Gewährt die Berechtigung zum Starten eines EMR-Notebooks	Schreiben	editor*
			cluster
StartNotebookExecution	Gewährt die Berechtigung zum Starten einer EMR-Notebook-Ausführung	Schreiben	cluster*
			editor*
				aws:RequestTag/${TagKey} aws:TagKeys elasticmapreduce:RequestTag/${TagKey}
StopEditor [nur Berechtigung]	Gewährt die Berechtigung zum Schließen eines EMR-Notebooks	Schreiben	editor*
StopNotebookExecution	Gewährt die Berechtigung zum Beenden der Notebook-Ausführung	Schreiben	notebook-execution*
TerminateJobFlows	Gewährt die Berechtigung zum Beenden eines Clusters (Auftragsverlauf)	Schreiben	cluster*
UnlinkRepository [nur Berechtigung]	Gewährt die Berechtigung zum Aufheben eines EMR Notebook-Repositorys von EMR-Notebooks	Schreiben
UpdateEditor [nur Berechtigung]	Gewährt die Berechtigung zum Aktualisieren eines EMR-Notebook	Schreiben	editor*
UpdateRepository [nur Berechtigung]	Gewährt die Berechtigung zum Aktualisieren eines EMR-Notebook-Repositorys	Schreiben
UpdateStudio	Gewährt die Berechtigung zum Aktualisieren von Informationen über ein EMR-Studio	Schreiben	studio*
UpdateStudioSessionMapping	Gewährt die Berechtigung zum Aktualisieren einer EMR-Studio-Sitzungsmapping	Schreiben	studio*
ViewEventsFromAllClustersInConsole [nur Berechtigung]	Gewährt die Berechtigung zum Verwenden der EMR-Konsole, um Ereignisse aus allen Clustern anzuzeigen	Auflisten

Von Amazon Elastic definierte Ressourcentypen MapReduce

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle „Aktionen“ identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen	ARN	Bedingungsschlüssel
cluster	arn:${Partition}:elasticmapreduce:${Region}:${Account}:cluster/${ClusterId}	aws:ResourceTag/${TagKey} elasticmapreduce:ResourceTag/${TagKey}
editor	arn:${Partition}:elasticmapreduce:${Region}:${Account}:editor/${EditorId}	aws:ResourceTag/${TagKey} elasticmapreduce:ResourceTag/${TagKey}
notebook-execution	arn:${Partition}:elasticmapreduce:${Region}:${Account}:notebook-execution/${NotebookExecutionId}	aws:ResourceTag/${TagKey} elasticmapreduce:ResourceTag/${TagKey}
studio	arn:${Partition}:elasticmapreduce:${Region}:${Account}:studio/${StudioId}	aws:ResourceTag/${TagKey} elasticmapreduce:ResourceTag/${TagKey}

Bedingungsschlüssel für Amazon Elastic MapReduce

Amazon Elastic MapReduce definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Bedingungsschlüssel.

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff basierend darauf, ob das Tag-Wert-Paar mit der Aktion bereitgestellt wird.	String
aws:ResourceTag/${TagKey}	Filtert den Zugriff basierend auf dem Tag-Wert-Paar, das einer Amazon-EMR-Ressource zugeordnet ist.	String
aws:TagKeys	Filtert den Zugriff basierend darauf, ob die Tag-Schlüssel mit der Aktion bereitgestellt werden, unabhängig vom Tag-Wert.	ArrayOfString
elasticmapreduce:ExecutionRoleArn	Filtert den Zugriff danach, ob die ARN der Ausführungsrolle mit der Aktion bereitgestellt wird	ARN
elasticmapreduce:RequestTag/${TagKey}	Filtert den Zugriff basierend darauf, ob das Tag-Wert-Paar mit der Aktion bereitgestellt wird.	String
elasticmapreduce:ResourceTag/${TagKey}	Filtert den Zugriff basierend auf dem Tag-Wert-Paar, das einer Amazon-EMR-Ressource zugeordnet ist.	String