加密 EMR Studio 工作空间笔记本和文件 - Amazon EMR
先决条件设置

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

加密 EMR Studio 工作空间笔记本和文件

在 EMR Studio 中，您可以创建和配置不同的工作区来组织和运行笔记本。这些工作空间将笔记本和相关文件存储在您指定的 Amazon S3 存储桶中。默认情况下，这些文件使用 Amazon S3 托管的密钥 (SSE-S3) 进行加密，服务器端加密是基本加密级别。您也可以选择使用客户托管的 KMS 密钥 (SSE-KMS) 来加密您的文件。在创建 EMR Studio 时，您可以使用 Amazon EMR 管理控制台或通过AWS CLI和AWS软件开发工具包来实现。

EMR Studio 工作空间存储加密适用于所有可用 EMR Studio 的区域。

先决条件

在加密 EMR Studio 工作空间笔记本和文件之前，必须使用AWS Key Management Service创建与您的 EMR Studio 相同AWS 账户和区域的对称客户经理密钥 (CMK)。

您的资源策略AWS KMS必须具有您的 EMR Studio 服务角色所需的访问权限。以下是授予 EMR Studio Workspace 存储加密最低访问权限的 IAM 策略示例：

{
    "Sid": "AllowEMRStudioServiceRoleAccess",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<ROLE_NAME>"
    },
    "Action": [
        "kms:Decrypt", 
        "kms:GenerateDataKey", 
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo",
        "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringEquals": {
            "kms:CallerAccount": "<ACCOUNT_ID>",
            "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<S3_BUCKET_NAME>",
            "kms:ViaService": "s3.<AWS_REGION>.amazonaws.com"
        }
    }
}

您的 EMR Studio 服务角色还必须具有访问权限才能使用您的AWS KMS密钥。以下是授予 EMR Studio Workspace 存储加密最低访问权限的 IAM 策略示例：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEMRStudioWorkspaceStorageEncryptionAccess",
            "Effect": "Allow",
            "Action": [
               "kms:Decrypt",
               "kms:GenerateDataKey",
               "kms:ReEncryptFrom",
               "kms:ReEncryptTo",
               "kms:DescribeKey"             
            ],
            "Resource": ["arn:aws:kms:<REGION>:<ACCOUNT_ID>:key/<KEY_IDENTIFIER>"]
        }
    ]
}

设置

按照以下步骤创建使用工作空间存储加密的新 EMR Studio。

  1. 通过 https://console.aws.amazon.com/elasticmapreduce/ 打开 Amazon EMR 控制台。

  2. 选择 “工作室”，然后选择 “创建工作室”。

  3. 要获取 S3 存储位置，请输入或选择 Amazon S3 路径。这是亚马逊 EMR 存储工作空间笔记本和文件的 Amazon S3 位置。

  4. 对于服务角色，输入或选择一个 IAM 角色。这是 Amazon EMR 承担的 IAM 角色。

  5. 选择使用您自己的密AWS KMS钥加密工作区文件。

  6. 输入或选择用于加密 Amazon S3 中的工作空间笔记本和文件的密AWS KMS钥。

  7. 选择 “创建 Studio” 或 “创建工作室并启动工作区”。

  8. 选择使用您自己的密AWS KMS钥加密工作区文件。

  9. 输入或选择AWS KMS用于加密 Amazon S3 中的工作空间笔记本和文件。

  10. 选择保存更改。

以下步骤演示如何更新 EMR Studio 和设置工作空间存储加密。

  1. 通过 https://console.aws.amazon.com/elasticmapreduce/ 打开 Amazon EMR 控制台。

  2. 从列表中选择现有的 EMR Studio，然后选择 “编辑”。

  3. 选择使用您自己的密AWS KMS钥加密工作区文件。

  4. 输入或选择AWS KMS用于加密 Amazon S3 中的工作空间笔记本和文件。

  5. 选择保存更改。