先行書き込みログ (WAL) のサービスにリンクされたロールのアクセス許可 Amazon EMR のサービスリンクロールの作成 Amazon EMR のサービスリンクロールの編集 Amazon EMR のサービスリンクロールの削除でサポートされているリージョン AWSServiceRoleForEMRWAL

先行書き込みログ記録にサービスにリンクされたロールを使用する

Amazon EMR は AWS Identity and Access Management 、 (IAM) サービスにリンクされたロールを使用します。サービスにリンクされたロールは、Amazon EMR に直接リンクされた特殊な IAM ロールです。サービスにリンクされたロールは Amazon EMR によって事前定義されており、ユーザーに代わってサービスから他の AWS のサービスを呼び出すために必要なすべてのアクセス許可が含まれています。

サービスにリンクされたロールは、Amazon EMR のサービスロールおよび Amazon EMR の Amazon EC2 インスタンスプロファイルと連携します。サービスロールとインスタンスプロファイルに関する詳細については、「AWS のサービスおよびリソースへのアクセス許可を Amazon EMR に付与する IAM サービスロールの設定」を参照してください。

サービスにリンクされたロールを使用すると、必要なアクセス許可を手動で追加する必要がなくなるため、Amazon EMR の設定が簡単になります。Amazon EMR は、サービスにリンクされたロールのアクセス許可を定義します。特に定義されている場合を除き、Amazon EMR のみがそのロールを引き受けることができます。定義したアクセス許可には、信頼ポリシーと許可ポリシーが含まれます。この許可ポリシーを他の IAM エンティティにアタッチすることはできません。

Amazon EMR のサービスにリンクされたロールは、関連するリソースを削除し、アカウント内のすべての EMR クラスターを終了した後にのみ削除できます。これにより、Amazon EMR リソースが保護されるため、リソースへのアクセス許可が誤って削除されることはありません。

先行書き込みログ (WAL) のサービスにリンクされたロールのアクセス許可

Amazon EMR は、サービスにリンクされたロールAWSServiceRoleForEMRWALを使用してクラスターのステータスを取得します。

AWSServiceRoleForEMRWAL サービスにリンクされたロールは、次のサービスを信頼してロールを引き受けます。

emrwal.amazonaws.com

サービスにリンクされたロールのEMRDescribeClusterPolicyForEMRWALアクセス許可ポリシーにより、Amazon EMR は指定されたリソースに対して次のアクションを実行できます。

アクション: * 上で DescribeCluster

IAM エンティティ (この場合は Amazon EMR WAL) がサービスにリンクされたロールを作成、編集、または削除できるようにするアクセス許可を設定する必要があります。必要に応じて、インスタンスプロファイルのアクセス許可ポリシーに次のステートメントを追加します。

IAM エンティティがサービスにリンクされたロールを作成 AWSServiceRoleForEMRWALできるようにするには

サービスにリンクされたロールを作成する必要のある IAM エンティティのアクセス権限ポリシーに、次のステートメントを追加します。


{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/emrwal.amazonaws.com*/AWSServiceRoleForEMRWAL*",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": [
                "emrwal.amazonaws.com",
                "elasticmapreduce.amazonaws.com.cn"
            ]
        }
    }
}

IAM エンティティが AWSServiceRoleForEMRWAL サービスにリンクされたロールの説明を編集できるようにするには

サービスにリンクされたロールの説明を編集する必要のある IAM エンティティのアクセス許可ポリシーに次のステートメントを追加します。


{
    "Effect": "Allow",
    "Action": [
        "iam:UpdateRoleDescription"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/emrwal.amazonaws.com*/AWSServiceRoleForEMRWAL*",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": [
                "emrwal.amazonaws.com",
                "elasticmapreduce.amazonaws.com.cn"
            ]
        }
    }
}

IAM エンティティがサービスにリンクされたロールを削除 AWSServiceRoleForEMRWALできるようにするには

サービスにリンクされたロールを削除する必要のある IAM エンティティのアクセス権限ポリシーに、次のステートメントを追加します。


{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/elasticmapreduce.amazonaws.com*/AWSServiceRoleForEMRCleanup*",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": [
                "emrwal.amazonaws.com",
                "elasticmapreduce.amazonaws.com.cn"
            ]
        }
    }
}

Amazon EMR のサービスリンクロールの作成

AWSServiceRoleForEMRWAL ロールを手動で作成する必要はありません。Amazon EMR は、EMRWAL CLI またはで WAL ワークスペースを作成すると、このサービスにリンクされたロールを自動的に作成します。または AWS CloudFormation、Amazon EMR WAL のワークスペースを設定したときに、サービスにリンクされたロールがまだ存在しない場合、HBase はサービスにリンクされたロールを作成します。サービスにリンクされたロールを作成するには、アクセス許可が必要です。IAM エンティティ (ユーザー、グループ、ロールなど) のアクセス許可ポリシーにこの機能を追加するステートメントの例については、前のセクション「」を参照してください先行書き込みログ (WAL) のサービスにリンクされたロールのアクセス許可。

Amazon EMR のサービスリンクロールの編集

Amazon EMR では、 AWSServiceRoleForEMRWAL サービスにリンクされたロールを編集することはできません。サービスにリンクされたロールを作成した後は、さまざまなエンティティがサービスにリンクされたロールを参照する可能性があるため、サービスにリンクされたロールの名前を変更することはできません。ただし、IAM を使用してサービスにリンクされたロールの説明を編集することはできます。

サービスにリンクされたロールの説明の編集 (IAM コンソール)

サービスにリンクされたロールの説明は、IAM コンソールを使用して編集できます。

サービスにリンクされたロールの説明を編集するには (コンソール)

IAM コンソールのナビゲーションペインで [ロール] を選択します。
変更するロールの名前を選択します。
[Role description] (ロールの説明) の右にある [Edit] (編集) を選択します。
ボックスに新しい説明を入力し、[Save changes] (変更の保存) を選択します。

サービスにリンクされたロールの説明の編集 (IAM CLI)

から IAM コマンドを使用して AWS Command Line Interface 、サービスにリンクされたロールの説明を編集できます。

サービスにリンクされたロールの説明を変更するには (CLI)

(オプション) ロールの現在の説明を表示するには、次のコマンドを使用します。
```
$ aws iam get-role --role-name role-name
```
CLI コマンドでは、ARN ではなくロール名を使用してロールを参照します。例えば、ロールの ARN が arn:aws:iam::123456789012:role/myrole である場合、そのロールを myrole と参照します。
サービスにリンクされたロールの説明を更新するには、次のいずれかのコマンドを使用します。
```
$ aws iam update-role-description --role-name role-name --description description
```

サービスにリンクされたロールの説明の編集 (IAM API)

サービスにリンクされたロールの説明は、IAM API を使用して編集できます。

サービスにリンクされたロールの説明を変更するには (API)

(オプション) ロールの現在の説明を表示するには、次のコマンドを使用します。

IAM API: GetRole
ロールの説明を更新するには、次のコマンドを使用します。

IAM API: UpdateRoleDescription

Amazon EMR のサービスリンクロールの削除

サービスにリンクされたロールを必要とする機能やサービスを使用する必要がなくなった場合は、そのサービスにリンクされたロールを削除することをお勧めします。そうすることで、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。ただし、削除する前に、サービスにリンクされたロールをクリーンアップする必要があります。

注記

AWSServiceRoleForEMRWAL ロールを削除してもログ先行書き込みオペレーションは影響を受けませんが、Amazon EMR は EMR クラスターの終了後に作成したログを自動的に削除しません。したがって、サービスにリンクされたロールを削除する場合は、Amazon EMR WAL ログを手動で削除する必要があります。

サービスにリンクされたロールのクリーンアップ

IAM を使用してサービスにリンクされたロールを削除するには、まずそのロールにアクティブなセッションがないことを確認し、そのロールで使用されているリソースをすべて削除する必要があります。

サービスにリンクされたロールにアクティブなセッションがあるかどうかを、IAM コンソールで確認するには

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
ナビゲーションペインで [ロール] を選択します。 AWSServiceRoleForEMRWAL ロールの名前 (チェックボックスではありません) を選択します。
選択したロールの [概要] ページで [アクセスアドバイザー] を選択します。
[アクセスアドバイザー] タブで、サービスにリンクされたロールの最新のアクティビティを確認します。

注記
Amazon EMR が AWSServiceRoleForEMRWAL ロールを使用しているかどうかが不明な場合は、サービスにリンクされたロールを削除できます。サービスがロールを使用している場合、削除は失敗し、サービスにリンクされたロールが使用されているリージョンを表示できます。サービスにリンクされたロールが使用されている場合は、セッションが終了するのを待ってから、サービスにリンクされたロールを削除する必要があります。サービスにリンクされたロールのセッションを取り消すことはできません。

で使用される Amazon EMR リソースを削除するには AWSServiceRoleForEMRWAL

アカウントのすべてのクラスターを終了します。詳細については、「クラスターを終了する」を参照してください。

サービスにリンクされたロールの削除 (IAM コンソール)

IAM コンソールを使用して、サービスにリンクされたロールを削除できます。

サービスにリンクされたロールを削除するには (コンソール)

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
ナビゲーションペインで [ロール] を選択します。名前や行自体ではなく AWSServiceRoleForEMRWAL、の横にあるチェックボックスをオンにします。
ページ上部にある ロールのアクション で ロールの削除 を選択します。
確認ダイアログボックスで、サービスの最終アクセス時間データを確認します。このデータには、選択した各ロールが最後に AWS サービスにアクセスした日時が表示されます。これは、そのロールが現在アクティブであるかどうかを確認するのに役立ちます。続行するには、[はい、削除します] を選択します。
IAM コンソール通知を見て、サービスにリンクされたロールの削除の進行状況をモニタリングします。IAM サービスにリンクされたロールの削除は非同期であるため、削除するロールを送信すると、削除タスクは成功または失敗する可能性があります。タスクが失敗した場合は、通知から 詳細を表示または リソースを表示を選択して、削除が失敗した理由を知ることができます。そのロールで使用中のリソースがサービスにあるために削除に失敗した場合、この失敗の理由にはリソースのリストも含まれます。

サービスにリンクされたロールの削除 (IAM CLI)

から IAM コマンドを使用して AWS Command Line Interface 、サービスにリンクされたロールを削除できます。サービスにリンクされているロールは、使用されている、または関連するリソースがある場合は削除できないため、削除リクエストを送信する必要があります。これらの条件が満たされないとき、そのリクエストは拒否される場合があります。

サービスにリンクされたロールを削除するには (CLI)

削除タスクのステータスを確認するには、レスポンスから deletion-task-id を取得する必要があります。サービスにリンクされたロールの削除リクエストを送信するには、次のコマンドを入力します。
```
$ aws iam delete-service-linked-role --role-name AWSServiceRoleForEMRWAL
```
削除タスクのステータスを確認するには、次のコマンドを入力します。
```
$ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id
```
削除タスクのステータスは、NOT_STARTED、IN_PROGRESS、SUCCEEDED、または FAILED となります。削除が失敗した場合は、失敗した理由がコールによって返され、トラブルシューティングが可能になります。

サービスにリンクされたロールの削除 (IAM API)

IAM API を使用して、サービスにリンクされたロールを削除できます。サービスにリンクされているロールは、使用されている、または関連するリソースがある場合は削除できないため、削除リクエストを送信する必要があります。これらの条件が満たされないとき、そのリクエストは拒否される場合があります。

サービスにリンクされたロールを削除するには (API)

サービスにリンクされたロールの削除リクエストを送信するには、を呼び出しますDeleteServiceLinkedRole。リクエストで、 AWSServiceRoleForEMRWAL ロール名を指定します。

削除タスクのステータスを確認するには、レスポンスから DeletionTaskId を取得する必要があります。
削除のステータスを確認するには、を呼び出しますGetServiceLinkedRoleDeletionStatus。リクエストで DeletionTaskId を指定します。

削除タスクのステータスは、NOT_STARTED、IN_PROGRESS、SUCCEEDED、または FAILED となります。削除が失敗した場合は、失敗した理由がコールによって返され、トラブルシューティングが可能になります。

でサポートされているリージョン AWSServiceRoleForEMRWAL

Amazon EMR では、以下のリージョンで AWSServiceRoleForEMRWAL サービスにリンクされたロールの使用がサポートされています。

リージョン名	リージョン識別子	Amazon EMR でのサポート
米国東部 (バージニア北部)	us-east-1	はい
米国東部 (オハイオ)	us-east-2	はい
米国西部 (北カリフォルニア)	us-west-1	はい
米国西部 (オレゴン)	us-west-2	はい
アジアパシフィック (ムンバイ)	ap-south-1	あり
アジアパシフィック (シンガポール)	ap-southeast-1	はい
アジアパシフィック (シドニー)	ap-southeast-2	はい
アジアパシフィック (東京)	ap-northeast-1	あり
欧州 (フランクフルト)	eu-central-1	はい
欧州 (アイルランド)	eu-west-1	あり

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

クリーンアップロール

IAM ロールのカスタマイズ