EMR Studio Workspace 노트북 및 파일 암호화

EMR Studio에서 노트북을 구성하고 실행하기 위해 다양한 워크스페이스를 생성하고 구성할 수 있습니다. 이러한 워크스페이스는 노트북 및 관련 파일을 지정된 Amazon S3 버킷에 저장합니다. 기본적으로 이러한 파일은 서버 측 암호화를 기본 암호화 수준으로 사용하는 Amazon S3 관리형 키(SSE-S3)로 암호화됩니다. 고객 관리형 KMS 키(SSE-KMS)를 사용하여 파일을 암호화하도록 선택할 수도 있습니다. Amazon EMR 관리 콘솔을 사용하거나 EMR Studio를 생성할 때 AWS CLI 및 AWS SDK를 통해 이를 수행할 수 있습니다.

EMR Studio Workspace 스토리지 암호화는 EMR Studio를 사용할 수 있는 모든 리전에서 사용 가능합니다.

사전 조건

EMR Studio 워크스페이스 노트북 및 파일을 암호화하려면 먼저 AWS Key Management Service 를 사용하여 EMR Studio와 동일한 AWS 계정 및 리전에서 대칭 고객 관리자 키(CMK)를 생성해야 합니다.

의 리소스 정책에는 EMR Studio의 서비스 역할에 필요한 액세스 권한이 있어야 AWS KMS 합니다. 다음은 EMR Studio Workspace 스토리지 암호화에 대한 최소 액세스 권한을 부여하는 샘플 IAM 정책입니다.

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

EMR Studio 서비스 역할에는 AWS KMS 키를 사용할 수 있는 액세스 권한도 있어야 합니다. 다음은 EMR Studio Workspace 스토리지 암호화에 대한 최소 액세스 권한을 부여하는 샘플 IAM 정책입니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
            "Effect": "Allow",
            "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey",
               "kms:ReEncryptFrom",
               "kms:ReEncryptTo",
               "kms:DescribeKey"             
            ],
            "Resource": ["arn:aws:kms:<REGION>:<ACCOUNT_ID>:key/<KEY_IDENTIFIER>"]
        }
    ]
}

새 EMR Studio 생성

다음 단계를 수행하여 워크스페이스 스토리지 암호화를 사용하는 새 EMR Studio를 생성합니다.

1. https://console.aws.amazon.com/elasticmapreduce/에서 Amazon EMR 콘솔을 엽니다.

2. Studios를 선택하고 Studio 생성을 선택합니다.

3. 스토리지를 위한 S3 위치에 Amazon S3 경로를 입력하거나 선택합니다. Amazon EMR에서 워크스페이스 노트북 및 파일을 저장하는 Amazon S3 위치입니다.

4. 서비스 역할에 IAM 역할을 입력하거나 선택합니다. Amazon EMR에서 수임하는 IAM 역할입니다.

5. 자체 AWS KMS 키로 Workspace 파일 암호화를 선택합니다.

6. Amazon S3에서 워크스페이스 노트북 및 파일을 암호화하는 데 사용할 AWS KMS 키를 입력하거나 선택합니다.

7. Studio 생성 또는 Studio 생성 및 워크스페이스 시작을 선택합니다.

8. 자체 AWS KMS 키로 Workspace 파일 암호화를 선택합니다.

9. Amazon S3에서 워크스페이스 노트북 및 파일을 암호화하는 데 AWS KMS 사용할를 입력하거나 선택합니다.

10. 변경 사항 저장을 선택합니다.

다음 단계에서는 EMR Studio를 업데이트하고 워크스페이스 스토리지 암호화를 설정하는 방법을 보여줍니다.

1. https://console.aws.amazon.com/elasticmapreduce/에서 Amazon EMR 콘솔을 엽니다.

2. 목록에서 기존 EMR Studio를 선택한 다음, 편집을 선택합니다.

3. 자체 AWS KMS 키로 Workspace 파일 암호화를 선택합니다.

4. Amazon S3에서 워크스페이스 노트북 및 파일을 암호화하는 데 AWS KMS 사용할를 입력하거나 선택합니다.

5. 변경 사항 저장을 선택합니다.