Autorizzazioni di amministratore per creare e gestire un EMR Studio - Amazon EMR
Autorizzazioni necessarie per gestire un EMR Studio

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Autorizzazioni di amministratore per creare e gestire un EMR Studio

Le autorizzazioni IAM descritte in questa pagina consentono di creare e gestire un EMR Studio. Per informazioni dettagliate su ciascuna autorizzazione necessaria, consulta Autorizzazioni necessarie per gestire un EMR Studio.

Autorizzazioni necessarie per gestire un EMR Studio

Nella tabella seguente sono elencate le operazioni relative alla creazione e alla gestione di un EMR Studio. Nella tabella vengono inoltre visualizzate le autorizzazioni necessarie per ciascuna operazione.

Nota

Le operazioni di SessionMapping di IAM Identity Center e Studio ti occorrono soltanto quando utilizzi la modalità di autenticazione IAM Identity Center.

Autorizzazioni per creare e gestire un EMR Studio
Operazione Autorizzazioni
Creazione di uno Studio 
"elasticmapreduce:CreateStudio", 
"sso:CreateApplication",
"sso:PutApplicationAuthenticationMethod",
"sso:PutApplicationGrant",
"sso:PutApplicationAccessScope",
"sso:PutApplicationAssignmentConfiguration",
"iam:PassRole"
Descrizione di uno Studio 
"elasticmapreduce:DescribeStudio",
"sso:GetManagedApplicationInstance"
Elencazione degli Studio 
"elasticmapreduce:ListStudios"
Eliminazione di uno Studio 
"elasticmapreduce:DeleteStudio",
"sso:DeleteApplication",
"sso:DeleteApplicationAuthenticationMethod",
"sso:DeleteApplicationAccessScope",
"sso:DeleteApplicationGrant"
Additional permissions required when you use IAM Identity Center mode

Assegnazione di utenti o gruppi a uno Studio

 
"elasticmapreduce:CreateStudioSessionMapping",
"sso:GetProfile",
"sso:ListDirectoryAssociations",
"sso:ListProfiles",
"sso:AssociateProfile",
"sso-directory:SearchUsers",
"sso-directory:SearchGroups",
"sso-directory:DescribeUser",
"sso-directory:DescribeGroup",
"sso:ListInstances",
"sso:CreateApplicationAssignment",
"sso:DescribeInstance",
"organizations:DescribeOrganization",
"organizations:ListDelegatedAdministrators",
"sso:CreateInstance",
"sso:DescribeRegisteredRegions",
"sso:GetSharedSsoConfiguration",
"iam:ListPolicies"

Recupero dei dettagli delle assegnazioni Studio per un utente o un gruppo

 
"sso-directory:SearchUsers",
"sso-directory:SearchGroups",
"sso-directory:DescribeUser",
"sso-directory:DescribeGroup",
"sso:DescribeApplication",
"elasticmapreduce:GetStudioSessionMapping"
Elencazione di tutti gli utenti e i gruppi assegnati a uno Studio 
"elasticmapreduce:ListStudioSessionMappings"
Aggiornamento della policy di sessione associata a un utente o a un gruppo assegnato a uno Studio 
"sso-directory:SearchUsers",
"sso-directory:SearchGroups",
"sso-directory:DescribeUser",
"sso-directory:DescribeGroup",
"sso:DescribeApplication",
"sso:DescribeInstance",
"elasticmapreduce:UpdateStudioSessionMapping"
Rimozione di un utente o un gruppo da uno Studio 
"elasticmapreduce:DeleteStudioSessionMapping",
"sso-directory:SearchUsers",
"sso-directory:SearchGroups",
"sso-directory:DescribeUser",
"sso-directory:DescribeGroup",
"sso:ListDirectoryAssociations",
"sso:GetProfile",
"sso:DescribeApplication",
"sso:DescribeInstance",
"sso:ListProfiles",
"sso:DisassociateProfile",
"sso:DeleteApplicationAssignment",
"sso:ListApplicationAssignments"
Creare una policy con le autorizzazioni di amministrazione per EMR Studio

  1. Segui le istruzioni in Creazione di policy IAM per creare una policy utilizzando uno dei seguenti esempi. Le autorizzazioni di cui hai bisogno dipendono dalla tua modalità di autenticazione per EMR Studio.

    Inserisci valori personalizzati per questi elementi:

    • Sostituisci <your-resource-ARN> per specificare il nome della risorsa Amazon (ARN) dell'oggetto o degli oggetti che l'istruzione copre per i tuoi casi d'uso.

    • Sostituisci <region> con il codice della Regione AWS in cui prevedi di creare lo Studio.

    • Sostituisci <aws-account_id> con l'ID dell'account AWS per lo Studio.

    • Sostituisci <EMRStudio-Service-Role> e <EMRStudio-User-Role> con i nomi del tuo ruolo di servizio EMR Studio e ruolo utente di EMR Studio.

    Esempio Policy di esempio: autorizzazioni di amministrazione quando si utilizza la modalità di autenticazione IAM
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Resource": "arn:aws:elasticmapreduce:<region>:<aws-account-id>:studio/*",
            "Action": [
                "elasticmapreduce:CreateStudio",
                "elasticmapreduce:DescribeStudio",
                "elasticmapreduce:DeleteStudio"
            ]
        },
        {
            "Effect": "Allow",
            "Resource": "<your-resource-ARN>",
            "Action": [
                "elasticmapreduce:ListStudios"
            ]
        },
        {
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::<aws-account-id>:role/<EMRStudio-Service-Role>"
            ],
            "Action": "iam:PassRole"
        }
    ]
}
    Esempio Policy di esempio: autorizzazioni di amministrazione quando si utilizza la modalità di autenticazione IAM Identity Center
    Nota

    Le API delle directory Identity Center e Identity Center Directory non supportano la specifica di un ARN nell'elemento della risorsa di un'istruzione di policy IAM. Per consentire l'accesso a IAM Identity Center e IAM Identity Center Directory, le seguenti autorizzazioni specificano tutte le risorse, "Resource":"*", per le operazioni di IAM Identity Center. Per ulteriori informazioni, consulta la sezione Operazioni, risorse e chiavi di condizione per la directory IAM Identity Center.

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Resource": "arn:aws:elasticmapreduce:<region>:<aws-account-id>:studio/*",
            "Action": [
                "elasticmapreduce:CreateStudio",
                "elasticmapreduce:DescribeStudio",
                "elasticmapreduce:DeleteStudio",
                "elasticmapreduce:CreateStudioSessionMapping",
                "elasticmapreduce:GetStudioSessionMapping",
                "elasticmapreduce:UpdateStudioSessionMapping",
                "elasticmapreduce:DeleteStudioSessionMapping"
            ]
        },
        {
            "Effect": "Allow",
            "Resource": "<your-resource-ARN>",
            "Action": [
                "elasticmapreduce:ListStudios",
                "elasticmapreduce:ListStudioSessionMappings"
            ]
        },
        {
            "Effect": "Allow",
            "Resource": [
                "arn:aws:iam::<aws-account-id>:role/<EMRStudio-Service-Role>",
                "arn:aws:iam::<aws-account-id>:role/<EMRStudio-User-Role>"
            ],
            "Action": "iam:PassRole"
        },
        {
            "Effect": "Allow",
            "Resource": "*",
            "Action": [
                "sso:CreateApplication", 
                "sso:PutApplicationAuthenticationMethod", 
                "sso:PutApplicationGrant", 
                "sso:PutApplicationAccessScope",
                "sso:PutApplicationAssignmentConfiguration",
                "sso:DescribeApplication", 
                "sso:DeleteApplication", 
                "sso:DeleteApplicationAuthenticationMethod", 
                "sso:DeleteApplicationAccessScope", 
                "sso:DeleteApplicationGrant", 
                "sso:ListInstances", 
                "sso:CreateApplicationAssignment", 
                "sso:DeleteApplicationAssignment",
                "sso:ListApplicationAssignments", 
                "sso:DescribeInstance",
                "sso:AssociateProfile",
                "sso:DisassociateProfile",
                "sso:GetProfile",
                "sso:ListDirectoryAssociations",
                "sso:ListProfiles",
                "sso-directory:SearchUsers",
                "sso-directory:SearchGroups",
                "sso-directory:DescribeUser",
                "sso-directory:DescribeGroup",
                "organizations:DescribeOrganization",
                "organizations:ListDelegatedAdministrators",
                "sso:CreateInstance",
                "sso:DescribeRegisteredRegions",
                "sso:GetSharedSsoConfiguration",
                "iam:ListPolicies"
            ]
        }
    ]
}

  2. Collega la policy all'identità IAM (utente, ruolo o gruppo). Per ricevere istruzioni, consulta Aggiunta e rimozione di autorizzazioni per identità IAM.