Cifrado de cuadernos y archivos del espacio de trabajo de EMR Studio

En un EMR Studio, puede crear y configurar diferentes espacios de trabajo para organizar y ejecutar cuadernos. Estos espacios de trabajo almacenan cuadernos y archivos relacionados en el bucket de Amazon S3 que especifique. De forma predeterminada, estos archivos se cifran con claves administradas por Amazon S3 (SSE-S3) con el cifrado del lado del servidor como el nivel básico de cifrado. También puede optar por utilizar claves KMS administradas por el cliente (SSE-KMS) para cifrar sus archivos. Puede hacerlo mediante la consola de administración de Amazon EMR o mediante el AWS SDK AWS CLI and al crear un EMR Studio.

El cifrado del almacenamiento del espacio de trabajo de EMR Studio está disponible en todas las Regiones en las que está disponible EMR Studio.

Requisitos previos

Antes de poder cifrar el bloc de notas y los archivos del espacio de trabajo de EMR Studio, debe crear AWS Key Management Service una clave de administrador de clientes (CMK) simétrica en la Cuenta de AWS misma región y región que su EMR Studio.

Su política de recursos AWS KMS debe tener los permisos de acceso necesarios para su función de servicio de EMR Studio. El siguiente es un ejemplo de política de IAM que otorga permisos de acceso mínimos para el cifrado de almacenamiento de un espacio de trabajo de EMR Studio:

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

Su rol de servicio de EMR Studio también debe tener los permisos de acceso para usar su AWS KMS clave. El siguiente es un ejemplo de política de IAM que concede los permisos de acceso mínimos para el cifrado de almacenamiento de un espacio de trabajo de EMR Studio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
            "Effect": "Allow",
            "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey",
               "kms:ReEncryptFrom",
               "kms:ReEncryptTo",
               "kms:DescribeKey"             
            ],
            "Resource": ["arn:aws:kms:<REGION>:<ACCOUNT_ID>:key/<KEY_IDENTIFIER>"]
        }
    ]
}

Crear un nuevo EMR Studio

Siga estos pasos para crear un nuevo EMR Studio que utilice el cifrado de almacenamiento del espacio de trabajo.

1. Abra la consola de Amazon EMR en https://console.aws.amazon.com/elasticmapreduce/.

2. Seleccione Studios y, a continuación, seleccione Crear Studio.

3. En el caso de la ubicación de S3 para el almacenamiento, ingrese o elija una ruta de Amazon S3. Esta es la ubicación en Amazon S3 en la que Amazon EMR almacena los cuadernos y archivos del espacio de trabajo.

4. En Rol de servicio elija un rol de IAM. Este es el rol de IAM que asume Amazon EMR.

5. Elija Cifrar los archivos del espacio de trabajo con su propia clave. AWS KMS

6. Introduzca o elija una AWS KMS clave para cifrar las libretas y los archivos del espacio de trabajo en Amazon S3.

7. Elija Crear Studio o Crear Studio y Lanzar espacios de trabajo.

8. Elija Cifrar los archivos del espacio de trabajo con su propia clave. AWS KMS

9. Introduzca o elija una de AWS KMS las que desee utilizar para cifrar las libretas y los archivos del espacio de trabajo en Amazon S3.

10. Elija Save changes (Guardar cambios).

Los siguientes pasos muestran cómo actualizar un EMR Studio y configurar el cifrado del almacenamiento del espacio de trabajo.

1. Abra la consola de Amazon EMR en https://console.aws.amazon.com/elasticmapreduce/.

2. Elija un EMR Studio existente de la lista y, a continuación, seleccione Editar.

3. Elija Cifrar los archivos del espacio de trabajo con su propia clave. AWS KMS

4. Introduzca o elija una de AWS KMS las que desee utilizar para cifrar las libretas y los archivos del espacio de trabajo en Amazon S3.

5. Elija Save changes (Guardar cambios).