翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
EMR Studio を作成したら、その Studio にユーザーとグループを割り当てることができます。ユーザーの割り当て、更新、削除に使用する方法は、Studio 認証モードによって異なります。
-
IAM 認証モードを使用する場合、IAM または IAM と ID プロバイダーで EMR Studio ユーザーの割り当てとアクセス許可を設定します。
-
IAM Identity Center 認証モードでは、Amazon EMR マネジメントコンソールまたは AWS CLI を使用してユーザーを管理します。
Amazon EMR Studio の認証の詳細については、「Amazon EMR Studio の認証モードの選択」を参照してください。
EMR Studio にユーザーまたはグループを割り当てる
「Amazon EMR Studio の IAM 認証モードの設定」を行う際に、ユーザーの IAM アクセス許可ポリシーで CreateStudioPresignedUrl アクションを許可し、ユーザーを特定の Studio に制限する必要があります。IAM 認証モードのユーザーアクセス許可 に CreateStudioPresignedUrl を含めるか、別のポリシーを使用できます。
ユーザーを特定の Studio (または Studio のセット) に制限するには、属性ベースのアクセスコントロール (ABAC) を使用するか、Studio の Amazon リソースネーム (ARN) をアクセス許可ポリシーの Resource 要素で指定できます。
例 Studio ARN を使用してユーザーを Studio に割り当てる
次のポリシー例では、CreateStudioPresignedUrl アクションを許可し、Resource 要素に Studio の Amazon リソースネーム (ARN) を指定することで、ユーザーに特定の EMR Studio へのアクセス権を付与しています。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateStudioPresignedUrl",
"Effect": "Allow",
"Action": [
"elasticmapreduce:CreateStudioPresignedUrl"
],
"Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/<studio-id>"
}
]
}例 IAM 認証用に ABAC を使用して Studio にユーザーを割り当てる
Studio の属性ベースアクセスコントロール (ABAC) を設定する方法は複数あります。例えば、EMR Studio に 1 つ以上のタグをアタッチし、CreateStudioPresignedUrl アクションを、それらのタグを持つ特定の Studio または Studio のセットに制限する IAM ポリシーを作成できます。
Studio の作成中または作成後にタグを追加できます。タグを既存の Studio に追加するには、AWS CLIemr add-tagsTeam = Data Analytics を持つタグを EMR Studio に追加します。
aws emr add-tags --resource-id <example-studio-id> --tags Team="Data Analytics"次のアクセス許可ポリシー例では、タグのキーと値のペア Team = DataAnalytics を持つ EMR Studio に対して CreateStudioPresignedUrl アクションを許可しています。タグを使用したアクセス制御の詳細については、「タグを使用したユーザーおよびロールへのアクセスとそのユーザーおよびロールのアクセスの制御」または「タグを使用した AWS
リソースへのアクセスの制御」を参照してください。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateStudioPresignedUrl",
"Effect": "Allow",
"Action": [
"elasticmapreduce:CreateStudioPresignedUrl"
],
"Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
"Condition": {
"StringEquals": {
"elasticmapreduce:ResourceTag/Team": "Data Analytics"
}
}
}
]
}例 aws:SourceIdentity グローバル条件キーを使用してユーザーを Studio に割り当てる
IAM フェデレーションを使用する場合、アクセス許可ポリシーでグローバル条件キー aws:SourceIdentity を使用して、フェデレーションの IAM ロールを引き受けるときに Studio へのアクセス権をユーザーに付与できます。
まず、ユーザーが認証してフェデレーションの IAM ロールを引き受けるときに、E メールアドレスやユーザー名などの識別文字列を返すように ID プロバイダー (IdP) を設定する必要があります。IAM は、グローバル条件キー aws:SourceIdentity を IdP から返された識別文字列に設定します
詳細については、 AWS
Security Blog のブログ投稿「How to relate IAM role activity to corporate identity
次のポリシーの例では、CreateStudioPresignedUrl アクションを許可し、<example-source-identity> と一致する aws:SourceIdentity を持つユーザーに <example-studio-arn> で指定された EMR Studio へのアクセス権を付与しています。
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "elasticmapreduce:CreateStudioPresignedUrl",
"Resource": "<example-studio-arn>",
"Condition": {
"StringLike": {
"aws:SourceIdentity": "<example-source-identity>"
}
}
}
]
}Studio に割り当てられたユーザーまたはグループのアクセス許可を更新する
IAM 認証モードを使用するときにユーザーまたはグループのアクセス許可を更新するには、IAM を使用して IAM ID (ユーザー、グループ、またはロール) にアタッチされた IAM アクセス許可ポリシーを変更します。
詳細については、「IAM 認証モードのユーザーアクセス許可」を参照してください。
Studio からユーザーまたはグループを削除する
IAM 認証モードを使用するときに EMR Studio からユーザーまたはグループを削除するには、ユーザーの IAM アクセス許可ポリシーを再構成して、Studio へのユーザーのアクセスを取り消す必要があります。
次のポリシーの例では、タグのキーと値のペア Team = Quality Assurance を持つ EMR Studio があると仮定します。ポリシーに従って、ユーザーは、値が Data Analytics または Quality
Assurance のいずれかに等しい Team キーでタグ付けされた Studio にアクセスできます。Team = Quality Assurance でタグ付けされた Studio からユーザーを削除するには、タグ値のリストから Quality Assurance を削除します。
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateStudioPresignedUrl",
"Effect": "Allow",
"Action": [
"elasticmapreduce:CreateStudioPresignedUrl"
],
"Resource": "arn:aws:elasticmapreduce:<region>:<account-id>:studio/*",
"Condition": {
"StringEquals": {
"emr:ResourceTag/Team": [
"Data Analytics",
"Quality Assurance"
]
}
}
}
]
}