プライベートサブネット用の Simple Storage Service (Amazon S3) の最小ポリシー

プライベートサブネットの場合、少なくとも Amazon Linux リポジトリにアクセスするための機能を Amazon EMR に提供する必要があります。このプライベートサブネットポリシーは、Simple Storage Service (Amazon S3) にアクセスするための VPC エンドポイントポリシーの一部です。Amazon EMR 5.25.0 以降で永続 Spark 履歴サーバーへのワンクリックアクセスを有効にするには、Spark イベントログを収集するシステムバケットへのアクセスを Amazon EMR に許可する必要があります。ログ記録を有効にする場合は、PUT アクセス許可を aws157-logs-* バケットに提供します。詳細については、「永続 Spark 履歴サーバーへのワンクリックアクセス」を参照してください。

ビジネスニーズに合ったポリシー制限は、お客様が決定します。例えば、リージョン packages.us-east-1.amazonaws.com を指定して、あいまいな Simple Storage Service (Amazon S3) バケット名を避けることができます。以下のポリシー例では、Spark イベントログを収集するための Amazon Linux リポジトリおよび Amazon EMR システムバケットにアクセスするためのアクセス許可を提供します。をログバケットが存在するリージョンMyRegionに置き換えますus-east-1。例えば、。

Amazon VPC エンドポイントでの IAM ポリシーの使用の詳細については、「Amazon S3 のエンドポイントポリシー」を参照してください。

{
   "Version": "2008-10-17",
   "Statement": [
       {
           "Sid": "AmazonLinuxAMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::packages.MyRegion.amazonaws.com/*",
           	"arn:aws:s3:::repo.MyRegion.amazonaws.com/*",
           	"arn:aws:s3:::repo.MyRegion.emr.amazonaws.com/*"
           ]
       },
       {
           "Sid": "EnableApplicationHistory",
           "Effect": "Allow",
           "Principal": "*",
           "Action": [
               "s3:Put*",
               "s3:Get*",
               "s3:Create*",
               "s3:Abort*",
               "s3:List*"
           ],
           "Resource": [
           	"arn:aws:s3:::prod.MyRegion.appinfo.src/*"
           ]
       }
   ]
}

以下の例のポリシーは、Amazon Linux 2 リポジトリへのアクセスに必要なアクセス許可を提供します。デフォルトは Amazon Linux 2 AMI です。

{
   "Statement": [
       {
           "Sid": "AmazonLinux2AMIRepositoryAccess",
           "Effect": "Allow",
           "Principal": "*",
           "Action": "s3:GetObject",
           "Resource": [
           	"arn:aws:s3:::amazonlinux.MyRegion.amazonaws.com/*",
           	"arn:aws:s3:::amazonlinux-2-repos-MyRegion/*"
           ]
       }
   ]
}