Criptografando cadernos e arquivos do espaço de trabalho do EMR Studio

No EMR Studio, você pode criar e configurar diferentes áreas de trabalho para organizar e executar notebooks. Esses espaços de trabalho armazenam cadernos e arquivos relacionados em seu bucket Amazon S3 especificado. Por padrão, esses arquivos são criptografados com chaves gerenciadas pelo Amazon S3 (SSE-S3) com criptografia do lado do servidor como nível básico de criptografia. Você também pode optar por usar chaves KMS gerenciadas pelo cliente (SSE-KMS) para criptografar seus arquivos. Você pode fazer isso usando o console de gerenciamento do Amazon EMR ou por meio do AWS CLI AWS SDK ao criar um EMR Studio.

A criptografia de armazenamento do espaço de trabalho do EMR Studio está disponível em todas as regiões em que o EMR Studio está disponível.

Pré-requisitos

Antes de criptografar o caderno e os arquivos do espaço de trabalho do EMR Studio, você deve AWS Key Management Service usar para criar uma chave simétrica do gerenciador de clientes (CMK) na mesma região do Conta da AWS seu EMR Studio.

Sua política de recursos AWS KMS deve ter as permissões de acesso necessárias para a função de serviço do EMR Studio. Veja a seguir um exemplo de política do IAM que concede permissões mínimas de acesso à criptografia de armazenamento do EMR Studio Workspace:

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

Sua função de serviço do EMR Studio também deve ter as permissões de acesso para usar sua AWS KMS chave. Veja a seguir um exemplo de política do IAM que concede as permissões mínimas de acesso à criptografia de armazenamento do EMR Studio Workspace:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
            "Effect": "Allow",
            "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey",
               "kms:ReEncryptFrom",
               "kms:ReEncryptTo",
               "kms:DescribeKey"             
            ],
            "Resource": ["arn:aws:kms:<REGION>:<ACCOUNT_ID>:key/<KEY_IDENTIFIER>"]
        }
    ]
}

Configuração

Siga estas etapas para criar um novo EMR Studio que usa criptografia de armazenamento do espaço de trabalho.

1. Abra o console do Amazon EMR em https://console.aws.amazon.com/elasticmapreduce/.

2. Escolha Estúdios e, em seguida, escolha Criar estúdio.

3. Para a localização do S3 para armazenamento, insira ou escolha um caminho do Amazon S3. Esse é o local do Amazon S3 onde o Amazon EMR armazena cadernos e arquivos do espaço de trabalho.

4. Em Função de serviço, insira ou escolha uma função do IAM. Essa é a função do IAM que o Amazon EMR assume.

5. Escolha Criptografar arquivos do Workspace com sua própria chave. AWS KMS

6. Insira ou escolha uma AWS KMS chave para usar para criptografar cadernos e arquivos do espaço de trabalho no Amazon S3.

7. Escolha Create Studio ou Create Studio e inicie espaços de trabalho.

8. Escolha Criptografar arquivos do Workspace com sua própria chave. AWS KMS

9. Insira ou escolha um AWS KMS para usar para criptografar cadernos e arquivos do espaço de trabalho no Amazon S3.

10. Escolha Salvar alterações.

As etapas a seguir demonstram como atualizar um EMR Studio e configurar a criptografia de armazenamento do espaço de trabalho.

1. Abra o console do Amazon EMR em https://console.aws.amazon.com/elasticmapreduce/.

2. Escolha um EMR Studio existente na lista e, em seguida, escolha Editar.

3. Escolha Criptografar arquivos do Workspace com sua própria chave. AWS KMS

4. Insira ou escolha um AWS KMS para usar para criptografar cadernos e arquivos do espaço de trabalho no Amazon S3.

5. Escolha Salvar alterações.