Konfigurasi peran layanan IAM untuk izin Amazon EMR untuk layanan AWS dan sumber daya

Amazon EMR dan aplikasi seperti Hadoop dan Spark perlu izin untuk mengakses sumber daya AWS lain dan melakukan tindakan ketika mereka dijalankan. Setiap cluster di Amazon EMR harus memiliki peran layanan dan peran untuk profil EC2 instans Amazon. Untuk informasi selengkapnya, lihat IAM role dan Menggunakan profil instans di Panduan Pengguna IAM. Kebijakan IAM yang terlampir pada peran ini memberikan izin untuk klaster untuk beroperasi dengan layanan AWS lain atas nama pengguna.

Peran tambahan, peran Auto Scaling, diperlukan jika klaster Anda menggunakan penskalaan otomatis di Amazon EMR. Peran AWS layanan untuk EMR Notebooks diperlukan jika Anda menggunakan EMR Notebooks.

Amazon EMR menyediakan peran default dan kebijakan terkelola default yang menentukan izin untuk setiap peran. Kebijakan terkelola dibuat dan dikelola oleh AWS, sehingga kebijakan tersebut diperbarui secara otomatis jika persyaratan layanan berubah. Lihat AWS kebijakan terkelola di Panduan Pengguna IAM.

Jika Anda membuat sebuah klaster atau notebook untuk pertama kalinya di akun, peran untuk Amazon EMR belum ada. Setelah membuatnya, Anda dapat melihat peran, kebijakan yang dilampirkan padanya, dan izin yang diizinkan atau ditolak oleh kebijakan di konsol IAM () https://console.aws.amazon.com/iam/. Anda dapat menentukan peran default untuk Amazon EMR untuk membuat dan menggunakan, Anda dapat membuat peran Anda sendiri dan menentukan mereka secara individual ketika Anda membuat sebuah klaster untuk menyesuaikan izin, dan Anda dapat menentukan peran default untuk digunakan ketika Anda membuat sebuah klaster menggunakan AWS CLI. Untuk informasi selengkapnya, lihat Sesuaikan peran IAM dengan Amazon EMR.

Memodifikasi kebijakan berbasis identitas untuk izin dalam melewati peran layanan untuk Amazon EMR

Kebijakan terkelola default izin penuh Amazon EMR menggabungkan konfigurasi iam:PassRole keamanan, termasuk yang berikut ini:

• Izin iam:PassRole hanya untuk peran Amazon EMR default tertentu.

• iam:PassedToServicekondisi yang memungkinkan Anda untuk menggunakan kebijakan hanya dengan AWS layanan tertentu, seperti elasticmapreduce.amazonaws.com danec2.amazonaws.com.

Anda dapat melihat versi JSON dari kebijakan Amazon EMRFull AccessPolicy _v2 dan Amazon EMRService Policy_v2 di konsol IAM. Kami menyarankan Anda membuat cluster baru dengan kebijakan terkelola v2.

Ringkasan peran layanan

Tabel berikut mencantumkan peran layanan IAM yang terkait dengan Amazon EMR untuk referensi cepat.

Fungsi	Peran default	Deskripsi	Kebijakan terkelola default
Peran layanan untuk Amazon EMR (peran EMR)	EMR_DefaultRole_V2	Memungkinkan Amazon EMR memanggil AWS layanan lain atas nama Anda saat menyediakan sumber daya dan melakukan tindakan tingkat layanan. Peran ini diperlukan untuk semua klaster.	AmazonEMRServicePolicy_v2 penting Peran terkait layanan diperlukan untuk meminta Instans Spot. Jika peran ini tidak ada, peran layanan EMR Amazon harus memiliki izin untuk membuatnya atau kesalahan izin terjadi. Jika Anda berencana untuk meminta Instans Spot, Anda harus memperbarui kebijakan ini untuk menyertakan pernyataan yang memungkinkan pembuatan peran terkait layanan ini. Untuk informasi selengkapnya, lihat Peran layanan untuk Amazon EMR (peran EMR) dan Peran terkait layanan untuk permintaan Instans Spot di EC2 Panduan Pengguna Amazon.
Peran layanan untuk EC2 instance cluster (profil EC2 instance)	EMR_EC2_DefaultRole	Proses aplikasi yang berjalan di atas ekosistem Hadoop pada instance cluster menggunakan peran ini ketika mereka memanggil layanan lain. AWS Untuk mengakses data di Amazon S3 menggunakan EMRFS, Anda dapat menentukan peran yang berbeda untuk diasumsikan berdasarkan lokasi data di Amazon S3. Misalnya, beberapa tim dapat mengakses "akun penyimpanan" data Amazon S3 tunggal. Untuk informasi selengkapnya, lihat Konfigurasi IAM role untuk permintaan EMRFS ke Amazon S3. Peran ini diperlukan untuk semua klaster.	AmazonElasticMapReduceforEC2Role. Untuk informasi selengkapnya, lihat Peran layanan untuk EC2 instance cluster (profil EC2 instance).
Peran layanan untuk penskalaan otomatis di Amazon EMR (peran Auto Scaling)	EMR_AutoScaling_DefaultRole	Mengizinkan tindakan tambahan untuk lingkungan penskalaan dinamis. Diperlukan hanya untuk klaster yang menggunakan penskalaan otomatis di Amazon EMR. Untuk informasi selengkapnya, lihat Menggunakan penskalaan otomatis dengan kebijakan khusus untuk grup instans di Amazon EMR.	AmazonElasticMapReduceforAutoScalingRole. Untuk informasi selengkapnya, lihat Peran layanan untuk penskalaan otomatis di Amazon EMR (peran Auto Scaling).
Peran layanan untuk EMR Notebooks	EMR_Notebooks_DefaultRole	Memberikan izin yang dibutuhkan notebook EMR untuk mengakses sumber daya AWS lain dan melakukan tindakan. Diperlukan hanya jika EMR Notebooks digunakan.	AmazonElasticMapReduceEditorsRole. Untuk informasi selengkapnya, lihat Peran layanan untuk EMR Notebooks. S3FullAccessPolicy juga dilampirkan secara default. Berikut adalah isi dari kebijakan ini. { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "s3:*", "Resource": "*" } ] }
Peran Terkait Layanan	AWSServiceRoleForEMRCleanup	Amazon EMR secara otomatis menciptakan peran tertaut layanan. Jika layanan untuk Amazon EMR telah kehilangan kemampuan untuk membersihkan EC2 sumber daya Amazon, Amazon EMR dapat menggunakan peran ini untuk membersihkan. Jika klaster menggunakan Instans Spot, kebijakan izin yang dilampirkan ke Peran layanan untuk Amazon EMR (peran EMR) harus mengizinkan pembuatan peran tertaut layanan. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk Amazon EMR.	AmazonEMRCleanupPolicy

Topik

• Peran layanan IAM yang digunakan oleh Amazon EMR

• Sesuaikan peran IAM dengan Amazon EMR

• Konfigurasi IAM role untuk permintaan EMRFS ke Amazon S3

• Gunakan kebijakan berbasis sumber daya untuk akses Amazon EMR ke AWS Katalog Data Glue

• Menggunakan IAM role dengan aplikasi yang memanggil layanan AWS secara langsung

• Mengizinkan pengguna dan grup untuk membuat dan memodifikasi peran