인터페이스 VPC 엔드포인트를 EMR 사용하여 Amazon에 연결

인터페이스 VPC 엔드포인트를 EMR 사용하여 Amazon에 직접 연결할 수 있습니다 (AWS PrivateLink인터넷으로 연결하는 대신 가상 사설 클라우드 (VPC) 에서 연결하십시오. 인터페이스 VPC 엔드포인트를 사용하는 경우 VPC 사용자와 Amazon 간의 EMR 통신은 전적으로 인터페이스 엔드포인트 내에서 수행됩니다. AWS 네트워크. 각 VPC 엔드포인트는 VPC 서브넷에 사설 IP 주소가 있는 하나 이상의 엘라스틱 네트워크 인터페이스 (ENIs) 로 표시됩니다.

인터페이스 VPC 엔드포인트는 인터넷 게이트웨이, NAT 디바이스, VPN 연결 또는 연결 EMR 없이 Amazon에 VPC 직접 연결합니다. AWS Direct Connect 연결. 사용자의 인스턴스는 Amazon과 통신하는 데 퍼블릭 IP 주소가 VPC 필요하지 않습니다 EMRAPI.

를 EMR 통해 Amazon을 사용하려면 Amazon 가상 사설망 (VPN) 을 사용하여 내부 인스턴스에서 VPC 연결하거나 사설 네트워크를 사용자 VPC 인스턴스에 연결해야 합니다. VPC AWS Direct Connect. Amazon에 대한 자세한 내용은 Amazon VPN 가상 사설 클라우드 사용 설명서의 VPN 연결을 참조하십시오. 자세한 내용은 AWS Direct Connect자세한 내용은 연결 생성을 참조하십시오. AWS Direct Connect 사용 설명서.

다음을 EMR 사용하여 Amazon에 연결할 인터페이스 VPC 엔드포인트를 생성할 수 있습니다. AWS 콘솔 또는 AWS Command Line Interface (AWS CLI) 명령. 자세한 내용은 인터페이스 엔드포인트 생성을 참조하세요.

인터페이스 VPC 엔드포인트를 생성한 후 엔드포인트에 프라이빗 DNS 호스트 이름을 활성화하면 기본 Amazon EMR 엔드포인트가 엔드포인트로 확인됩니다. VPC Amazon의 기본 서비스 이름 엔드포인트는 다음 EMR 형식입니다.

elasticmapreduce.Region.amazonaws.com

프라이빗 DNS 호스트 이름을 활성화하지 않는 경우 VPC Amazon은 다음 형식으로 사용할 수 있는 DNS 엔드포인트 이름을 제공합니다.

VPC_Endpoint_ID.elasticmapreduce.Region.vpce.amazonaws.com

자세한 내용은 인터페이스 VPC 엔드포인트 (AWS PrivateLink) Amazon VPC 사용 설명서에 나와 있습니다.

EMRAmazon은 사용자 내부의 모든 API작업에 대한 호출을 지원합니다VPC.

VPC엔드포인트에 엔드포인트 정책을 연결하여 VPC 보안 IAM 주체의 액세스를 제어할 수 있습니다. 또한 보안 그룹을 VPC 엔드포인트와 연결하여 네트워크 트래픽의 출처 및 목적지 (예: IP 주소 범위) 를 기반으로 인바운드 및 아웃바운드 액세스를 제어할 수 있습니다. 자세한 내용은 엔드포인트를 통한 VPC 서비스 액세스 제어를 참조하십시오.

Amazon용 VPC 엔드포인트 정책 생성 EMR

Amazon용 Amazon VPC 엔드포인트 정책을 EMR 생성하여 다음을 지정할 수 있습니다.

• 작업을 수행할 수 있거나 수행할 수 없는 보안 주체

• 수행할 수 있는 작업

• 작업을 수행할 수 있는 리소스

자세한 내용은 Amazon VPC 사용 설명서의 VPC 엔드포인트를 통한 서비스 액세스 제어를 참조하십시오.

예 — VPC 지정된 위치로부터의 모든 액세스를 거부하는 엔드포인트 정책 AWS account

다음 VPC 엔드포인트 정책은 거부합니다. AWS account 123456789012 엔드포인트를 사용한 리소스에 대한 모든 액세스.

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        },
        {
            "Action": "*",
            "Effect": "Deny",
            "Resource": "*",
            "Principal": {
                "AWS": [
                    "123456789012"
                ]
            }
        }
    ]
}

예 — 지정된 보안 IAM 주체 (사용자) 에게만 VPC 액세스를 허용하는 VPC 엔드포인트 정책

다음 VPC 엔드포인트 정책은 사용자에게만 전체 액세스를 허용합니다.lijuan 인 AWS account 123456789012. 다른 모든 IAM 보안 주체는 엔드포인트를 사용한 액세스가 거부됩니다.

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::123456789012:user/lijuan"
                ]
            }
        }]
}

예 — 읽기 VPC 전용 작업을 허용하는 엔드포인트 정책 EMR

다음 VPC 엔드포인트 정책은 다음을 허용합니다. AWS account 123456789012 지정된 Amazon EMR 작업을 수행합니다.

지정된 작업은 EMR Amazon에 대한 읽기 전용 액세스와 동등한 권한을 제공합니다. 지정된 계정에 대한 다른 모든 작업은 VPC 거부됩니다. 다른 모든 계정의 액세스는 거부됩니다. Amazon EMR 작업 목록은 Amazon의 작업, 리소스 및 조건 키를 참조하십시오 EMR.

{
    "Statement": [
        {
            "Action": [
                "elasticmapreduce:DescribeSecurityConfiguration",
                "elasticmapreduce:GetBlockPublicAccessConfiguration",
                "elasticmapreduce:ListBootstrapActions",
                "elasticmapreduce:ViewEventsFromAllClustersInConsole",
                "elasticmapreduce:ListSteps",
                "elasticmapreduce:ListInstanceFleets",
                "elasticmapreduce:DescribeCluster",
                "elasticmapreduce:ListInstanceGroups",
                "elasticmapreduce:DescribeStep",
                "elasticmapreduce:ListInstances",
                "elasticmapreduce:ListSecurityConfigurations",
                "elasticmapreduce:DescribeEditor",
                "elasticmapreduce:ListClusters",
                "elasticmapreduce:ListEditors"            
            ],
            "Effect": "Allow",
            "Resource": "*",
            "Principal": {
                "AWS": [
                    "123456789012"
                ]
            }
        }
    ]
}

예 — 지정된 클러스터에 대한 액세스를 거부하는 VPC 엔드포인트 정책

다음 VPC 엔드포인트 정책은 모든 계정과 보안 주체에 대한 전체 액세스를 허용하지만 다음에 대한 액세스는 거부합니다. AWS account 123456789012 클러스터 ID를 사용하여 Amazon EMR 클러스터에서 수행한 작업에 j-A1B2CD34EF5G. 클러스터에 대한 리소스 수준 권한을 지원하지 않는 다른 Amazon EMR 작업은 여전히 허용됩니다. Amazon EMR 작업 및 해당 리소스 유형의 목록은 Amazon의 작업, 리소스 및 조건 키를 참조하십시오 EMR.

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        },
        {
            "Action": "*",
            "Effect": "Deny",
            "Resource": "arn:aws:elasticmapreduce:us-west-2:123456789012:cluster/j-A1B2CD34EF5G",
            "Principal": {
                "AWS": [
                    "123456789012"
                ]
            }
        }
    ]
}