Konfigurasi peran layanan IAM untuk izin Amazon EMR untuk layanan AWS dan sumber daya - Amazon EMR
Memodifikasi kebijakan berbasis identitas untuk izin dalam melewati peran layanan untuk Amazon EMRRingkasan peran layanan

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasi peran layanan IAM untuk izin Amazon EMR untuk layanan AWS dan sumber daya

Amazon EMR dan aplikasi seperti Hadoop dan Spark perlu izin untuk mengakses sumber daya AWS lain dan melakukan tindakan ketika mereka dijalankan. Setiap klaster di Amazon EMR harus memiliki peran layanan dan peran untuk profil instans Amazon EC2. Untuk informasi selengkapnya, lihat IAM role dan Menggunakan profil instans di Panduan Pengguna IAM. Kebijakan IAM yang terlampir pada peran ini memberikan izin untuk klaster untuk beroperasi dengan layanan AWS lain atas nama pengguna.

Peran tambahan, peran Auto Scaling, diperlukan jika klaster Anda menggunakan penskalaan otomatis di Amazon EMR. Peran AWS layanan untuk EMR Notebooks diperlukan jika Anda menggunakan EMR Notebooks.

Amazon EMR menyediakan peran default dan kebijakan terkelola default yang menentukan izin untuk setiap peran. Kebijakan terkelola dibuat dan dikelola oleh AWS, sehingga kebijakan tersebut diperbarui secara otomatis jika persyaratan layanan berubah. Lihat AWS kebijakan terkelola di Panduan Pengguna IAM.

Jika Anda membuat sebuah klaster atau notebook untuk pertama kalinya di akun, peran untuk Amazon EMR belum ada. Setelah membuatnya, Anda dapat melihat peran, kebijakan yang dilampirkan padanya, dan izin yang diizinkan atau ditolak oleh kebijakan di konsol IAM (https://console.aws.amazon.com/iam/). Anda dapat menentukan peran default untuk Amazon EMR untuk membuat dan menggunakan, Anda dapat membuat peran Anda sendiri dan menentukan mereka secara individual ketika Anda membuat sebuah klaster untuk menyesuaikan izin, dan Anda dapat menentukan peran default untuk digunakan ketika Anda membuat sebuah klaster menggunakan AWS CLI. Untuk informasi selengkapnya, lihat Kustom IAM role.

Memodifikasi kebijakan berbasis identitas untuk izin dalam melewati peran layanan untuk Amazon EMR

Kebijakan terkelola default izin penuh Amazon EMR menggabungkan konfigurasi iam:PassRole keamanan, termasuk yang berikut ini:

  • Izin iam:PassRole hanya untuk peran Amazon EMR default tertentu.

  • iam:PassedToServicekondisi yang memungkinkan Anda untuk menggunakan kebijakan hanya dengan AWS layanan tertentu, seperti elasticmapreduce.amazonaws.com danec2.amazonaws.com.

Anda dapat melihat versi JSON dari kebijakan AmazonEMR FullAccessPolicy _v2 dan ServicePolicyAmazonEMR _v2 di konsol IAM. Kami menyarankan Anda membuat klaster baru dengan kebijakan terkelola v2.

Ringkasan peran layanan

Tabel berikut mencantumkan peran layanan IAM yang terkait dengan Amazon EMR untuk referensi cepat.

Fungsi Peran default Deskripsi Kebijakan terkelola default

Peran layanan untuk Amazon EMR (peran EMR)

EMR_DefaultRole_V2

Memungkinkan Amazon EMR memanggil AWS layanan lain atas nama Anda saat menyediakan sumber daya dan melakukan tindakan tingkat layanan. Peran ini diperlukan untuk semua klaster.

AmazonEMRServicePolicy_v2

penting

Peran terkait layanan diperlukan untuk meminta Instans Spot. Jika peran ini tidak ada, peran layanan EMR Amazon harus memiliki izin untuk membuatnya atau kesalahan izin terjadi. Jika Anda berencana untuk meminta Instans Spot, Anda harus memperbarui kebijakan ini untuk menyertakan pernyataan yang memungkinkan pembuatan peran terkait layanan ini. Untuk informasi selengkapnya, lihat Peran layanan untuk Amazon EMR (peran EMR) dan Peran terkait layanan untuk permintaan Instans Spot di Panduan Pengguna Amazon EC2.

Peran layanan untuk instans EC2 klaster (profil instans EC2)

EMR_EC2_DefaultRole

Proses aplikasi yang berjalan di atas ekosistem Hadoop pada instance cluster menggunakan peran ini ketika mereka memanggil layanan lain. AWS Untuk mengakses data di Amazon S3 menggunakan EMRFS, Anda dapat menentukan peran yang berbeda untuk diasumsikan berdasarkan lokasi data di Amazon S3. Misalnya, beberapa tim dapat mengakses "akun penyimpanan" data Amazon S3 tunggal. Untuk informasi selengkapnya, lihat Konfigurasi IAM role untuk permintaan EMRFS ke Amazon S3. Peran ini diperlukan untuk semua klaster.

AmazonElasticMapReduceforEC2Role. Untuk informasi selengkapnya, lihat Peran layanan untuk instans EC2 klaster (profil instans EC2).

Peran layanan untuk penskalaan otomatis di Amazon EMR (peran Auto Scaling)

EMR_AutoScaling_DefaultRole

Mengizinkan tindakan tambahan untuk lingkungan penskalaan dinamis. Diperlukan hanya untuk klaster yang menggunakan penskalaan otomatis di Amazon EMR. Untuk informasi selengkapnya, lihat Menggunakan penskalaan otomatis dengan kebijakan kustom untuk grup instans.

AmazonElasticMapReduceforAutoScalingRole. Untuk informasi selengkapnya, lihat Peran layanan untuk penskalaan otomatis di Amazon EMR (peran Auto Scaling).

Peran layanan untuk EMR Notebooks

EMR_Notebooks_DefaultRole

Memberikan izin yang dibutuhkan notebook EMR untuk mengakses sumber daya AWS lain dan melakukan tindakan. Diperlukan hanya jika EMR Notebooks digunakan.

AmazonElasticMapReduceEditorsRole. Untuk informasi selengkapnya, lihat Peran layanan untuk EMR Notebooks.

S3FullAccessPolicy juga dilampirkan secara default. Berikut adalah isi dari kebijakan ini.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

Peran Terkait Layanan

AWSServiceRoleForEMRCleanup

Amazon EMR secara otomatis menciptakan peran tertaut layanan. Jika layanan untuk Amazon EMR telah kehilangan kemampuan untuk membersihkan sumber daya Amazon EC2, Amazon EMR dapat menggunakan peran ini untuk membersihkan. Jika klaster menggunakan Instans Spot, kebijakan izin yang dilampirkan ke Peran layanan untuk Amazon EMR (peran EMR) harus mengizinkan pembuatan peran tertaut layanan. Untuk informasi selengkapnya, lihat Menggunakan peran terkait layanan untuk Amazon EMR.

AmazonEMRCleanupPolicy
Topik