EMR Studio 워크스페이스 노트북 및 파일 암호화

EMR Studio에서는 노트북을 구성하고 실행하기 위한 다양한 작업 영역을 만들고 구성할 수 있습니다. 이러한 워크스페이스는 지정된 Amazon S3 버킷에 노트북과 관련 파일을 저장합니다. 기본적으로 이러한 파일은 서버 측 암호화를 기본 암호화 수준으로 사용하는 Amazon S3 관리 키 (SSE-S3) 로 암호화됩니다. 고객 관리형 KMS 키 (SSE-KMS) 를 사용하여 파일을 암호화하도록 선택할 수도 있습니다. Amazon EMR 관리 콘솔을 사용하거나 EMR 스튜디오를 생성할 때 AWS CLI and AWS SDK를 통해 이 작업을 수행할 수 있습니다.

EMR Studio 작업 영역 스토리지 암호화는 EMR Studio를 사용할 수 있는 모든 지역에서 사용할 수 있습니다.

사전 조건

EMR Studio 워크스페이스 노트북과 파일을 암호화하려면 먼저 EMR Studio와 AWS 계정 동일한 리전에서 CMK (고객 관리자 키) 를 AWS Key Management Service 사용하여 대칭 고객 관리자 키 (CMK) 를 생성해야 합니다.

의 리소스 정책에는 EMR Studio의 서비스 역할에 필요한 액세스 권한이 AWS KMS 있어야 합니다. 다음은 EMR Studio Workspace 스토리지 암호화에 대한 최소 액세스 권한을 부여하는 샘플 IAM 정책입니다.

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

EMR Studio 서비스 역할에는 키를 사용할 수 AWS KMS 있는 액세스 권한도 있어야 합니다. 다음은 EMR Studio Workspace 스토리지 암호화에 대한 최소 액세스 권한을 부여하는 샘플 IAM 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
            "Effect": "Allow",
            "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey",
               "kms:ReEncryptFrom",
               "kms:ReEncryptTo",
               "kms:DescribeKey"             
            ],
            "Resource": ["arn:aws:kms:<REGION>:<ACCOUNT_ID>:key/<KEY_IDENTIFIER>"]
        }
    ]
}

설치

다음 단계에 따라 작업 영역 스토리지 암호화를 사용하는 새 EMR Studio를 생성하십시오.

1. https://console.aws.amazon.com/elasticmapreduce/에서 Amazon EMR 콘솔을 엽니다.

2. Studios를 선택한 다음 Create Studio를 선택합니다.

3. 스토리지용 S3 위치에는 Amazon S3 경로를 입력하거나 선택합니다. 이곳은 Amazon EMR이 작업 공간 노트북과 파일을 저장하는 Amazon S3 위치입니다.

4. 서비스 역할에 IAM 역할을 입력하거나 선택합니다. 이는 Amazon EMR이 맡는 IAM 역할입니다.

5. 자체 키로 작업 공간 파일 암호화를 선택합니다. AWS KMS

6. Amazon S3에서 작업 공간 노트북 및 파일을 암호화하는 데 사용할 AWS KMS 키를 입력하거나 선택합니다.

7. [스튜디오 생성] 또는 [스튜디오 생성 및 작업 영역 시작] 을 선택합니다.

8. 자체 AWS KMS 키로 작업 영역 파일 암호화를 선택합니다.

9. Amazon S3에서 작업 공간 노트북 및 파일을 암호화하는 AWS KMS 데 사용할 암호를 입력하거나 선택합니다.

10. 변경 사항 저장(Save Changes)을 선택합니다.

다음 단계는 EMR Studio를 업데이트하고 작업 영역 스토리지 암호화를 설정하는 방법을 보여줍니다.

1. https://console.aws.amazon.com/elasticmapreduce/에서 Amazon EMR 콘솔을 엽니다.

2. 목록에서 기존 EMR Studio를 선택한 다음 편집을 선택합니다.

3. 자체 AWS KMS 키로 작업 영역 파일 암호화를 선택합니다.

4. Amazon S3에서 작업 공간 노트북 및 파일을 암호화하는 AWS KMS 데 사용할 암호를 입력하거나 선택합니다.

5. 변경 사항 저장(Save Changes)을 선택합니다.