控制对任务模板的访问权限 - Amazon EMR
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

控制对任务模板的访问权限

借助 StartJobRun 策略,您可以强制要求某个用户或角色只能使用您指定的任务模板运行任务,如果不使用指定的任务模板,则无法运行 StartJobRun 操作。要实现此目的,请首先确保向该用户或角色授予对指定任务模板的读取权限,如下例所示。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "emr-containers:DescribeJobTemplate", "Resource": [ "job_template_1_arn", "job_template_2_arn", ... ] } ] }

要强制某个用户或角色只能在使用指定任务模板时调用 StartJobRun 操作,您可以将以下 StartJobRun 策略权限分配给该用户或角色。

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "emr-containers:StartJobRun", "Resource": [ "virtual_cluster_arn", ], "Condition": [ "StringEquals": { "emr-containers:JobTemplateArn": [ "job_template_1_arn", "job_template_2_arn", ... ] } ] } } ] }

如果任务模板在执行角色 ARN 字段中指定了任务模板参数,则用户将能够提供该参数的值,从而使用任意执行角色来调用 StartJobRun。要限制用户可以提供的执行角色,请参阅 将任务执行角色与 Amazon EMR on EKS 结合使用 中的控制对执行角色的访问权限

如果在上述 StartJobRun 操作策略中没有为给定用户或角色指定任何条件,则表示允许该用户或角色使用其具有读取权限的任意任务模板或使用任意执行角色在指定的虚拟集群上调用 StartJobRun 操作。