Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Après avoir créé un EMR Studio, vous pouvez lui attribuer des utilisateurs et des groupes. La méthode que vous utilisez pour attribuer, mettre à jour et supprimer des utilisateurs dépend du mode d'authentification Studio.
-
Lorsque vous utilisez le mode d'authentification IAM, vous configurez l'attribution des utilisateurs et les autorisations EMR Studio dans IAM ou avec IAM et votre fournisseur d'identité.
-
Avec le mode d'authentification IAM Identity Center, vous utilisez la console de gestion Amazon EMR ou pour gérer AWS CLI les utilisateurs.
Pour en savoir plus sur l'authentification pour Amazon EMR Studio, consultez Choisir un mode d'authentification pour Amazon EMR Studio.
Attribuer un utilisateur ou un groupe à un EMR Studio
Lorsque vous utilisez Configurer le mode d'authentification IAM pour Amazon EMR Studio, vous devez autoriser l'action CreateStudioPresignedUrl dans la politique d'autorisations IAM d'un utilisateur et limiter l'utilisateur à un Studio spécifique. Vous pouvez inclure CreateStudioPresignedUrl dans votre Autorisations utilisateur pour le mode d'authentification IAM ou utiliser une politique distincte.
Pour limiter un utilisateur à un Studio (ou à un ensemble de Studios), vous pouvez utiliser le Contrôle d'accès par attributs (ABAC) ou spécifier l'Amazon Resource Name (ARN) d'un Studio dans l'élément Resource de la politique d'autorisations.
Exemple Attribuer un utilisateur à un Studio à l'aide d'un ARN Studio
L'exemple de politique suivant permet à un utilisateur d'accéder à un EMR Studio spécifique en autorisant l'action CreateStudioPresignedUrl et en spécifiant l'Amazon Resource Name (ARN) du Studio dans l'élément Resource.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateStudioPresignedUrl",
"Effect": "Allow",
"Action": [
"elasticmapreduce:CreateStudioPresignedUrl"
],
"Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
}
]
}Exemple Attribuer un utilisateur à un Studio avec l'ABAC pour l'authentification IAM
Il existe plusieurs méthodes pour configurer le Contrôle d'accès par attributs (ABAC) pour un Studio. Par exemple, vous pouvez attacher une ou plusieurs balises à un EMR Studio, puis créer une politique IAM qui limite l'action CreateStudioPresignedUrl à un Studio ou à un ensemble de Studios spécifiques dotés de ces balises.
Vous pouvez ajouter des balises pendant ou après la création de Studio. Pour ajouter des balises à un Studio existant, utilisez la commande emr add-tags de l'AWS CLITeam = Data Analytics à un EMR Studio.
aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"L'exemple de politique d'autorisation suivant autorise l'action CreateStudioPresignedUrl pour les EMR Studios avec la paire clé-valeur de balise Team = DataAnalytics. Pour plus d'informations sur l'utilisation des balises pour le contrôle d'accès, consultez Contrôle de l'accès aux et pour les utilisateurs et rôles IAM à l'aide de balises ou Contrôle de l'accès aux ressources AWS
à l'aide de balises.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateStudioPresignedUrl",
"Effect": "Allow",
"Action": [
"elasticmapreduce:CreateStudioPresignedUrl"
],
"Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
"Condition": {
"StringEquals": {
"elasticmapreduce:ResourceTag/Team": "Data Analytics"
}
}
}
]
}Exemple Affecter un utilisateur à un studio à l'aide de la clé de condition SourceIdentity globale aws :
Lorsque vous utilisez la fédération IAM, vous pouvez utiliser la clé de condition globale aws:SourceIdentity dans une politique d'autorisations pour donner aux utilisateurs l'accès à Studio lorsqu'ils assument votre rôle IAM pour la fédération.
Vous devez d'abord configurer votre fournisseur d'identité (IdP) pour qu'il renvoie une chaîne d'identification, telle qu'une adresse e-mail ou un nom d'utilisateur, lorsqu'un utilisateur s'authentifie et assume votre rôle IAM pour la fédération. IAM définit la clé de condition globale aws:SourceIdentity sur la chaîne d'identification renvoyée par votre IdP.
Pour plus d'informations, consultez le billet de blog Comment associer l'activité des rôles IAM à l'identité d'entreprise
L'exemple de politique suivant autorise l'CreateStudioPresignedUrlaction et donne aux utilisateurs un accès aws:SourceIdentity correspondant à l'<example-source-identity>accès au studio EMR spécifié par. <example-studio-arn>
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "elasticmapreduce:CreateStudioPresignedUrl",
"Resource": "<example-studio-arn>",
"Condition": {
"StringLike": {
"aws:SourceIdentity": "<example-source-identity>"
}
}
}
]
}Mettre à jour les autorisations d'un utilisateur ou d'un groupe attribué à un Studio
Pour mettre à jour les autorisations des utilisateurs ou des groupes lorsque vous utilisez le mode d'authentification IAM, utilisez IAM pour modifier les politiques d'autorisations IAM attachées à vos identités IAM (utilisateurs, groupes ou rôles).
Pour de plus amples informations, veuillez consulter Autorisations utilisateur pour le mode d'authentification IAM.
Supprimer un utilisateur ou un groupe d'un Studio
Pour supprimer un utilisateur ou un groupe d'un EMR Studio lorsque vous utilisez le mode d'authentification IAM, vous devez révoquer l'accès de l'utilisateur au Studio en reconfigurant la politique d'autorisations IAM de l'utilisateur.
Dans l'exemple de politique suivant, supposons que vous disposiez d'un EMR Studio avec la paire clé-valeur de balise Team = Quality Assurance. Selon la politique, l'utilisateur peut accéder aux Studios balisés avec la clé Team dont la valeur est égale à Data Analytics ou Quality
Assurance. Pour supprimer l'utilisateur du Studio balisé avec Team = Quality Assurance, supprimez Quality Assurance de la liste des valeurs de balise.
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateStudioPresignedUrl",
"Effect": "Allow",
"Action": [
"elasticmapreduce:CreateStudioPresignedUrl"
],
"Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
"Condition": {
"StringEquals": {
"emr:ResourceTag/Team": [
"Data Analytics",
"Quality Assurance"
]
}
}
}
]
}