Utilizzo di Amazon S3 Access Grants con Amazon su EMR EKS

Panoramica di S3 Access Grants per Amazon su EMR EKS

Con le EMR versioni 6.15.0 e successive di Amazon, Amazon S3 Access Grants fornisce una soluzione di controllo degli accessi scalabile che puoi utilizzare per aumentare l'accesso ai tuoi dati Amazon S3 da Amazon in poi. EMR EKS Se hai una configurazione di autorizzazioni complessa o di grandi dimensioni per i dati S3, puoi utilizzare Access Grants per dimensionare le autorizzazioni relative ai dati S3 per utenti, ruoli e applicazioni.

Usa S3 Access Grants per aumentare l'accesso ai dati di Amazon S3 oltre alle autorizzazioni concesse dal ruolo di runtime o ai IAM ruoli associati alle identità con accesso al tuo Amazon on cluster. EMR EKS

Per ulteriori informazioni, consulta Managing access with S3 Access Grants for Amazon EMR nella Amazon EMR Management Guide e Managing access with S3 Access Grants nella Amazon Simple Storage Service User Guide.

Questa pagina descrive i requisiti per eseguire un job Spark in Amazon EMR EKS con l'integrazione di S3 Access Grants. Con EMR Amazon attivoEKS, S3 Access Grants richiede una dichiarazione IAM politica aggiuntiva nel ruolo di esecuzione per il tuo job e una configurazione di override aggiuntiva per. StartJobRun API Per i passaggi per configurare S3 Access Grants con altre EMR distribuzioni Amazon, consulta la seguente documentazione:

• Utilizzo di S3 Access Grants con Amazon EMR

• Utilizzo di S3 Access Grants con Serverless EMR

Avvia un Amazon EMR on EKS cluster con S3 Access Grants per la gestione dei dati

Puoi abilitare S3 Access Grants EMR su Amazon EKS e avviare un job Spark. Quando l'applicazione effettua una richiesta di dati S3, Amazon S3 fornisce credenziali temporanee che rientrano nell'ambito del bucket, del prefisso o dell'oggetto specifico.

1. Configura un ruolo di esecuzione del lavoro per il tuo Amazon EMR on EKS cluster. Includi IAM le autorizzazioni necessarie per eseguire i job Spark e: s3:GetDataAccess s3:GetAccessGrantsInstanceForPrefix

   {
       "Effect": "Allow",
       "Action": [
       "s3:GetDataAccess",
       "s3:GetAccessGrantsInstanceForPrefix"
       ],
       "Resource": [     //LIST ALL INSTANCE ARNS THAT THE ROLE IS ALLOWED TO QUERY
            "arn:aws_partition:s3:Region:account-id1:access-grants/default",
            "arn:aws_partition:s3:Region:account-id2:access-grants/default"
       ]
   }

   Nota

   Se specifichi IAM ruoli per l'esecuzione del lavoro che dispongono di autorizzazioni aggiuntive per accedere direttamente a S3, gli utenti potrebbero essere in grado di accedere ai dati indipendentemente dalle autorizzazioni definite in S3 Access Grants

2. Invia un lavoro al tuo Amazon EMR on EKS cluster con un'etichetta di EMR release Amazon di 6.15 o superiore e la emrfs-site classificazione, come illustrato nell'esempio seguente. Sostituisci i valori in red text con i valori appropriati per il tuo scenario di utilizzo.

   {
     "name": "myjob", 
     "virtualClusterId": "123456",  
     "executionRoleArn": "iam_role_name_for_job_execution", 
     "releaseLabel": "emr-7.2.0-latest", 
     "jobDriver": {
       "sparkSubmitJobDriver": {
         "entryPoint": "entryPoint_location",
         "entryPointArguments": ["argument1", "argument2"],  
          "sparkSubmitParameters": "--class main_class"
       }
     }, 
     "configurationOverrides": {
       "applicationConfiguration": [
         {
           "classification": "emrfs-site", 
           "properties": {
             "fs.s3.s3AccessGrants.enabled": "true",
             "fs.s3.s3AccessGrants.fallbackToIAM": "false"
            }
         }
       ], 
     }
   }

Considerazioni su S3 Access Grants con Amazon on EMR EKS

Per informazioni importanti su supporto, compatibilità e comportamento quando usi Amazon S3 Access Grants con EMR EKS Amazon on, consulta Considerazioni su S3 Access Grants con Amazon nella EMR Amazon Management Guide. EMR