Amazon EMR でのサービスにリンクされたロールのアクセス許可 Amazon EMR のサービスリンクロールの作成 Amazon EMR のサービスリンクロールの編集 Amazon EMR のサービスリンクロールの削除 Amazon EMR のサービスにリンクされたロールがサポートされるリージョン

Amazon EMR でのサービスにリンクされたロールの使用

Amazon EMR は、AWS Identity and Access Management (IAM) のサービスにリンクされたロールを使用しています。サービスにリンクされたロールは、Amazon EMR に直接リンクされた特殊な IAM ロールです。サービスにリンクされたロールは Amazon EMR で事前定義されます。これには、クラスターリソースが不要になった後、そのリソースをクリーンアップすることを目的としてユーザー名で Amazon EC2 を呼び出すために Amazon EMR が要求する許可が含まれます。サービスにリンクされたロールは、Amazon EMR サービスロールおよび Amazon EMR の Amazon EC2 インスタンスプロファイルと連動します。サービスロールとインスタンスプロファイルに関する詳細については、「AWS のサービスおよびリソースへのアクセス許可を Amazon EMR に付与する IAM サービスロールの設定」を参照してください。

Amazon EMR は、このサービスにリンクされたロールのアクセス権限を定義します。特に定義されている場合を除き、Amazon EMR のみがそのロールを引き受けることができます。定義した許可には、信頼ポリシーと許可ポリシーが含まれます。この許可ポリシーを他のIAM エンティティにアタッチすることはできません。アカウントのすべての EMR クラスターを終了後のみ、ロールを削除できます。

サービスにリンクされたロールをサポートする他のサービスについては、「IAM と連携する AWS のサービス」を参照して、サービスにリンクされたロール列がはいになっているサービスを確認してください。サービスにリンクされたロールに関するドキュメントをサービスで表示するには、[Yes] (はい) リンクを選択します。

Amazon EMR でのサービスにリンクされたロールのアクセス許可

Amazon EMR は AWSServiceRoleForEMRCleanup ロールを使用します。これは、Amazon EMR サービスロールが Amazon EC2 リソースを終了および削除できなくなった場合に、Amazon EMR が代わりに Amazon EC2 リソースを終了および削除できるようにするサービスベースのロールです。Amazon EMR は、クラスターの作成時にこのロールが存在しない場合は自動的に作成します。

AWSServiceRoleForEMRCleanup サービスリンクロールは、以下のサービスを信頼してロールを引き受けます。

elasticmapreduce.amazonaws.com

AWSServiceRoleForEMRCleanup サービスリンクロールのアクセス許可ポリシーでは、Amazon EMR は、指定されたリソースで次のアクションを完了することができます。

アクション: ec2 上で DescribeInstances
アクション: ec2 上で DescribeSpotInstanceRequests
アクション: ec2 上で ModifyInstanceAttribute
アクション: ec2 上で TerminateInstances
アクション: ec2 上で CancelSpotInstanceRequests
アクション: ec2 上で DeleteNetworkInterface
アクション: ec2 上で DescribeInstanceAttribute
アクション: ec2 上で DescribeVolumeStatus
アクション: ec2 上で DescribeVolumes
アクション: ec2 上で DetachVolume
アクション: DeleteVolume 上で ec2

サービスリンクロールの作成、編集、削除を IAM エンティティ (ユーザー、グループ、ロールなど) に許可するには、アクセス許可を設定する必要があります。

IAM エンティティが AWSServiceRoleForEMRCleanup サービスリンクロールを作成できるようにするには

サービスにリンクされたロールを作成する必要のある IAM エンティティのアクセス権限ポリシーに、次のステートメントを追加します。


{
    "Effect": "Allow",
    "Action": [
        "iam:CreateServiceLinkedRole",
        "iam:PutRolePolicy"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/elasticmapreduce.amazonaws.com*/AWSServiceRoleForEMRCleanup*",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": [
                "elasticmapreduce.amazonaws.com",
                "elasticmapreduce.amazonaws.com.cn"
            ]
        }
    }
}

IAM エンティティが AWSServiceRoleForEMRCleanup のサービスリンクロールの説明を編集できるようにするには

サービスにリンクされたロールの説明を編集する必要のある IAM エンティティのアクセス許可ポリシーに次のステートメントを追加します。


{
    "Effect": "Allow",
    "Action": [
        "iam:UpdateRoleDescription"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/elasticmapreduce.amazonaws.com*/AWSServiceRoleForEMRCleanup*",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": [
                "elasticmapreduce.amazonaws.com",
                "elasticmapreduce.amazonaws.com.cn"
            ]
        }
    }
}

IAM エンティティが AWSServiceRoleForEMRCleanup サービスリンクロールを削除できるようにするには

サービスにリンクされたロールを削除する必要のある IAM エンティティのアクセス権限ポリシーに、次のステートメントを追加します。


{
    "Effect": "Allow",
    "Action": [
        "iam:DeleteServiceLinkedRole",
        "iam:GetServiceLinkedRoleDeletionStatus"
    ],
    "Resource": "arn:aws:iam::*:role/aws-service-role/elasticmapreduce.amazonaws.com*/AWSServiceRoleForEMRCleanup*",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": [
                "elasticmapreduce.amazonaws.com",
                "elasticmapreduce.amazonaws.com.cn"
            ]
        }
    }
}

Amazon EMR のサービスリンクロールの作成

AWSServiceRoleForEMRCleanup ロールを手動で作成する必要はありません。クラスターを起動するときに、それが初回の起動であるか、サービスにリンクされたロールが存在しない場合、このロールが Amazon EMR によって自動的に作成されます。サービスにリンクされたロールを作成するためのアクセス許可が必要です。この機能を (ユーザー、グループ、ロールなどの) IAM エンティティのアクセス許可ポリシーに追加するステートメントの例については、「Amazon EMR でのサービスにリンクされたロールのアクセス許可」を参照してください。

重要

サービスリンクロールがサポートされていなかった 2017 年 10 月 24 日より前に Amazon EMR を使用していた場合、Amazon EMR により、アカウントに AWSServiceRoleForEMRCleanup ロールが作成されています。詳細については、「IAM アカウントに新しいロールが表示される」を参照してください。

Amazon EMR のサービスリンクロールの編集

Amazon EMR は、AWSServiceRoleForEMRCleanup サービスリンクロールの編集を許可しません。サービスにリンクされたロールを作成すると、多くのエンティティによってロールが参照される可能性があるため、ロール名を変更することはできません。ただし、IAM を使用したロールの説明の編集はできます。

サービスにリンクされたロールの説明の編集 (IAM コンソール)

サービスにリンクされたロールの説明は、IAM コンソールを使用して編集できます。

サービスにリンクされたロールの説明を編集するには (コンソール)

IAM コンソールのナビゲーションペインで [ロール] を選択します。
変更するロールの名前を選択します。
[Role description] (ロールの説明) の右にある [Edit] (編集) を選択します。
ボックスに新しい説明を入力し、[Save changes] (変更の保存) を選択します。

サービスにリンクされたロールの説明の編集 (IAM CLI)

AWS Command Line Interface から IAM コマンドを使用して、サービスにリンクされたロールの説明を編集できます。

サービスにリンクされたロールの説明を変更するには (CLI)

(オプション) ロールの現在の説明を表示するには、次のコマンドを使用します。
```
$ aws iam get-role --role-name role-name
```
CLI コマンドでは、ARN ではなくロール名を使用してロールを参照します。例えば、ロールの ARN が arn:aws:iam::123456789012:role/myrole である場合、そのロールを myrole と参照します。
サービスにリンクされたロールの説明を更新するには、次のいずれかのコマンドを使用します。
```
$ aws iam update-role-description --role-name role-name --description description
```

サービスにリンクされたロールの説明の編集 (IAM API)

サービスにリンクされたロールの説明は、IAM API を使用して編集できます。

サービスにリンクされたロールの説明を変更するには (API)

(オプション) ロールの現在の説明を表示するには、次のコマンドを使用します。

IAM API: GetRole
ロールの説明を更新するには、次のコマンドを使用します。

IAM API: UpdateRoleDescription

Amazon EMR のサービスリンクロールの削除

サービスにリンクされたロールが必要な機能またはサービスが不要になった場合には、そのロールを削除することをお勧めします。そうすることで、使用していないエンティティがアクティブにモニタリングされたり、メンテナンスされたりすることがなくなります。ただし、削除する前に、サービスにリンクされたロールをクリーンアップする必要があります。

サービスにリンクされたロールのクリーンアップ

IAM を使用してサービスにリンクされたロールを削除するには、まずそのロールにアクティブなセッションがないことを確認し、そのロールで使用されているリソースをすべて削除する必要があります。

サービスにリンクされたロールにアクティブなセッションがあるかどうかを、IAM コンソールで確認するには

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
ナビゲーションペインで [Roles (ロール) ] を選択します。AWSServiceRoleForEMRCleanup ロールの名前 (チェックボックスではない) を選択します。
選択したロールの [概要] ページで [アクセスアドバイザー] を選択します。
[アクセスアドバイザー] タブで、サービスにリンクされたロールの最新のアクティビティを確認します。

注記
Amazon EMR が AWSServiceRoleForEMRCleanup ロールを使用しているかどうか不明な場合は、ロールを削除してみてください。サービスでロールが使用されている場合、削除は失敗し、ロールが使用されているリージョンが表示されます。ロールが使用されている場合は、ロールを削除する前にセッションが終了するのを待つ必要があります。サービスにリンクされたロールのセッションを取り消すことはできません。

AWSServiceRoleForEMRCleanup が使用している Amazon EMR リソースを削除するには

アカウントのすべてのクラスターを終了します。詳細については、「クラスターを終了する」を参照してください。

サービスにリンクされたロールの削除 (IAM コンソール)

IAM コンソールを使用して、サービスにリンクされたロールを削除できます。

サービスにリンクされたロールを削除するには (コンソール)

IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。
ナビゲーションペインで [Roles (ロール) ] を選択します。AWSServiceRoleForEMRCleanup の横のチェックボックス (名前や行自体ではなく) を選択します。
ページ上部にある [ロールのアクション] で [ロールの削除] を選択します。
確認ダイアログボックスで、サービスの最終アクセス時間データを確認します。これは、選択したそれぞれのロールの AWS サービスへの最終アクセス時間を示します。これは、そのロールが現在アクティブであるかどうかを確認するのに役立ちます。続行するには、[はい、削除します] を選択します。
IAM コンソール通知を見て、サービスにリンクされたロールの削除の進行状況をモニタリングします。IAM サービスにリンクされたロールの削除は非同期であるため、削除するロールを送信すると、削除タスクは成功または失敗する可能性があります。タスクが失敗した場合は、通知から [View details] (詳細を表示) または [View Resources] (リソースを表示) を選択して、削除が失敗した理由を知ることができます。そのロールで使用中のリソースがサービスにあるために削除に失敗した場合、この失敗の理由にはリソースのリストも含まれます。

サービスにリンクされたロールの削除 (IAM CLI)

AWS Command Line Interface から IAM コマンドを使用して、サービスにリンクされたロールを削除できます。サービスにリンクされているロールは、使用されている、または関連するリソースがある場合は削除できないため、削除リクエストを送信する必要があります。これらの条件が満たされないとき、そのリクエストは拒否される場合があります。

サービスにリンクされたロールを削除するには (CLI)

削除タスクのステータスを確認するには、レスポンスから deletion-task-id を取得する必要があります。サービスにリンクされたロールの削除リクエストを送信するには、次のコマンドを入力します。
```
$ aws iam delete-service-linked-role --role-name AWSServiceRoleForEMRCleanup
```
削除タスクのステータスを確認するには、次のコマンドを入力します。
```
$ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id
```
削除タスクのステータスは、 NOT_STARTED､IN_PROGRESS, SUCCEEDED､または FAILED となります｡削除が失敗した場合は、失敗した理由がコールによって返され、トラブルシューティングが可能になります。

サービスにリンクされたロールの削除 (IAM API)

IAM API を使用して、サービスにリンクされたロールを削除できます。サービスにリンクされているロールは、使用されている、または関連するリソースがある場合は削除できないため、削除リクエストを送信する必要があります。これらの条件が満たされないとき、そのリクエストは拒否される場合があります。

サービスにリンクされたロールを削除するには (API)

サービスにリンクされたロールの削除リクエストを送信するには、DeleteServiceLinkedRole を呼び出します。リクエストで、AWSServiceRoleForEMRCleanup ロール名を指定します。

削除タスクのステータスを確認するには、レスポンスから DeletionTaskId を取得する必要があります。
削除タスクのステータスを確認するには、GetServiceLinkedRoleDeletionStatus を呼び出します。リクエストで DeletionTaskId を指定します。

削除タスクのステータスは、 NOT_STARTED､IN_PROGRESS, SUCCEEDED､または FAILED となります｡削除が失敗した場合は、失敗した理由がコールによって返され、トラブルシューティングが可能になります。

Amazon EMR のサービスにリンクされたロールがサポートされるリージョン

Amazon EMR は、以下のリージョンで、サービスにリンクされたロールの使用をサポートしています。

リージョン名	リージョン識別子	Amazon EMR でのサポート
米国東部 (バージニア北部)	us-east-1	はい
米国東部 (オハイオ)	us-east-2	はい
米国西部 (北カリフォルニア)	us-west-1	はい
米国西部 (オレゴン)	us-west-2	はい
アジアパシフィック (ムンバイ)	ap-south-1	はい
アジアパシフィック (大阪)	ap-northeast-3	はい
アジアパシフィック (ソウル)	ap-northeast-2	はい
アジアパシフィック (シンガポール)	ap-southeast-1	はい
アジアパシフィック (シドニー)	ap-southeast-2	はい
アジアパシフィック (東京)	ap-northeast-1	はい
カナダ (中部)	ca-central-1	はい
欧州 (フランクフルト)	eu-central-1	はい
欧州 (アイルランド)	eu-west-1	はい
欧州 (ロンドン)	eu-west-2	はい
欧州 (パリ)	eu-west-3	はい
南米 (サンパウロ)	sa-east-1	はい

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

EMR Notebooks ロール

IAM ロールのカスタマイズ