Creazione della configurazione di sicurezza di Amazon EMR per l'integrazione LDAP

Prima di avviare un cluster EMR con integrazione LDAP, segui i passaggi riportati Creazione di una configurazione di sicurezza per creare una configurazione di sicurezza Amazon EMR per il cluster. Completa le seguenti configurazioni nel blocco LDAPConfiguration in AuthenticationConfiguration o nei campi corrispondenti nella sezione Configurazioni di sicurezza della console Amazon EMR:

EnableLDAPAuthentication

Opzione console: Protocollo di autenticazione: LDAP

Per utilizzare l'integrazione LDAP, imposta questa opzione su true o selezionala come protocollo di autenticazione quando crei un cluster nella console. Per impostazione predefinita, EnableLDAPAuthentication è true quando crei una configurazione di sicurezza nella console Amazon EMR.

LDAPServerURL

Opzione console: posizione del server LDAP

La posizione del server LDAP, incluso il prefisso: ldaps://location_of_server.

BindCertificateARN

Opzione console: certificato SSL LDAP

L' AWS Secrets Manager ARN che contiene il certificato per firmare il certificato SSL utilizzato dal server LDAP. Se il server LDAP è firmato da un'autorità di certificazione (CA) pubblica, puoi fornire un AWS Secrets Manager ARN con un file vuoto. Per ulteriori informazioni su come archiviare il certificato in Secrets Manager, consulta Archiviazione dei certificati TLS in AWS Secrets Manager.

BindCredentialsARN

Opzione console: credenziali di associazione del server LDAP

Un AWS Secrets Manager ARN che contiene le credenziali di associazione dell'utente amministratore LDAP. Le credenziali sono archiviate come oggetto JSON. Esiste una sola coppia chiave-valore in questo segreto; la chiave nella coppia è il nome utente e il valore è la password. Ad esempio, {"uid=admin,cn=People,dc=example,dc=com": "AdminPassword1"}. Questo campo è facoltativo, a meno che non abiliti l'accesso SSH per il cluster EMR. In molte configurazioni, le istanze di Active Directory richiedono credenziali di associazione per consentire a SSSD di sincronizzare gli utenti.

LDAPAccessFilter

Opzione console: filtro di accesso LDAP

Specifica il sottoinsieme di oggetti all'interno del server LDAP che possono effettuare l'autenticazione. Ad esempio, se si desidera concedere l'accesso a tutti gli utenti con la classe di oggetti posixAccount nel server LDAP, il filtro di accesso viene definito come (objectClass=posixAccount).

LDAPUserSearchBase

Opzione console: base di ricerca utenti LDAP

La base di ricerca a cui appartengono gli utenti all'interno del server LDAP. Ad esempio, cn=People,dc=example,dc=com.

LDAPGroupSearchBase

Opzione console: base di ricerca per gruppi LDAP

La base di ricerca a cui appartengono i gruppi all'interno del server LDAP. Ad esempio, cn=Groups,dc=example,dc=com.

EnableSSHLogin

Opzione console: accesso SSH

Specifica se consentire o meno l'autenticazione tramite password con credenziali LDAP. Ti consigliamo di abilitare questa opzione. Le coppie di chiavi rappresentano un percorso più sicuro per consentire l'accesso ai cluster EMR. Questo campo è facoltativo e, per impostazione predefinita, corrisponde a false.

LDAPServerType

Opzione console: tipo di server LDAP

Specifica il tipo di server LDAP a cui si connette Amazon EMR. Le opzioni supportate sono Active Directory e OpenLDAP. Altri tipi di server LDAP potrebbero funzionare, ma Amazon EMR non supporta ufficialmente altri tipi di server. Per ulteriori informazioni, consulta Componenti LDAP per Amazon EMR.

ActiveDirectoryConfigurations

Un blocco secondario necessario per le configurazioni di sicurezza che utilizzano il tipo di server Active Directory.

ADDomain

Opzione console: dominio Active Directory

Il nome di dominio utilizzato per creare lo User Principal Name (UPN) per l'autenticazione degli utenti con configurazioni di sicurezza che utilizzano il tipo di server Active Directory.

Considerazioni sulle configurazioni di sicurezza con LDAP e Amazon EMR

• Per creare una configurazione di sicurezza con l'integrazione LDAP di Amazon EMR, devi utilizzare la crittografia in transito. Per informazioni sulla crittografia in transito, consulta Crittografia dei dati a riposo e in transito.

• Non è possibile definire la configurazione Kerberos nella stessa configurazione di sicurezza. Amazon EMR fornisce un KDC dedicato all'automazione e gestisce la password di amministratore per questo KDC. Gli utenti non possono accedere alla password di amministratore.

• Non è possibile definire ruoli di runtime IAM AWS Lake Formation nella stessa configurazione di sicurezza.

• Nel valore dell'LDAPServerURL deve essere compreso il protocollo ldaps://.

• Il LDAPAccessFilter non può essere vuoto.

Utilizzo di LDAP con l'integrazione di Apache Ranger per Amazon EMR

Con l'integrazione LDAP per Amazon EMR, puoi integrare ulteriormente con Apache Ranger. Quando trasferisci gli utenti LDAP in Ranger, puoi associare questi utenti a un server di policy Apache Ranger per eseguire l'integrazione con Amazon EMR e altre applicazioni. Per fare ciò, definisci il campo RangerConfiguration all'interno di AuthorizationConfiguration nella configurazione di sicurezza che usi con il cluster LDAP. Per ulteriori informazioni su come impostare la configurazione di sicurezza, consulta Creazione di una configurazione di sicurezza EMR.

Quando usi LDAP con Amazon EMR, non devi necessariamente fornire una KerberosConfiguration con l'integrazione Amazon EMR per Apache Ranger.