AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

创建安全配置

本主题介绍使用 EMR 控制台和 AWS CLI 创建安全配置的一般过程，并介绍有关加密、身份验证和 EMRFS 的 IAM 角色的参数的参考信息。有关这些功能的更多信息，请参阅以下主题：

配置数据加密

在配置安全配置中的加密之前，创建用于加密的密钥和证书。有关更多信息，请参阅 提供通过 Amazon EMR 加密静态数据的密钥 和 为通过 Amazon EMR 加密来加密传输中的数据提供证书。

在创建安全配置时，需要指定两组加密选项：静态数据加密和传输中数据加密。静态数据加密选项包括带有 EMRFS 的 Amazon S3 和本地磁盘加密。传输中加密选项为支持传输层安全性 (TLS) 的某些应用程序启用开源加密功能。静态选项和传输中选项可以同时启用或分别启用。有关更多信息，请参阅加密静态数据和传输中的数据。

使用控制台指定加密选项

根据以下准则选择 Encryption (加密) 下的选项。

使用 AWS CLI 指定加密选项

下面部分使用示例方案，说明对不同配置和密钥提供程序的正确 --security-configuration JSON 格式，再提供 JSON 参数和相应值的参考信息。

传输中数据加密选项示例

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption" : true,
		"EnableAtRestEncryption" : false,
		"InTransitEncryptionConfiguration" : {
			"TLSCertificateConfiguration" : {
				"CertificateProviderType" : "PEM",
				"S3Object" : "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		}
	}
}'				
				

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption" : true,
		"EnableAtRestEncryption" : false,
		"InTransitEncryptionConfiguration" : {
			"TLSCertificateConfiguration" : {
				"CertificateProviderType" : "Custom",
				"S3Object" : "s3://MyConfig/artifacts/MyCerts.jar",
				"CertificateProviderClass" : "com.mycompany.MyCertProvider"
			}
		}
 	}
}'		

静态数据加密选项示例

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption" : false,
		"EnableAtRestEncryption" : true,
		"AtRestEncryptionConfiguration" : {
			"S3EncryptionConfiguration" : {
				"EncryptionMode" : "SSE-S3"
			},
			"LocalDiskEncryptionConfiguration" : {
				"EncryptionKeyProviderType" : "AwsKms",
				"AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
 	}
}'				

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption" : true,
		"EnableAtRestEncryption" : true,
		"InTransitEncryptionConfiguration" : {
			"TLSCertificateConfiguration" : {
				"CertificateProviderType" : "PEM",
				"S3Object" : "arn:aws:s3:::MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration" : {
			"S3EncryptionConfiguration" : {
				"EncryptionMode" : "SSE-KMS",
				"AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration" : {
				"EncryptionKeyProviderType" : "AwsKms",
				"AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			}
		}
	}
}'

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption" : true,
		"EnableAtRestEncryption" : true,
		"InTransitEncryptionConfiguration" : {
			"TLSCertificateConfiguration" : {
				"CertificateProviderType" : "PEM",
				"S3Object" : "s3://MyConfigStore/artifacts/MyCerts.zip"
			}
		},
		"AtRestEncryptionConfiguration" : {
			"S3EncryptionConfiguration" : {
				"EncryptionMode" : "CSE-KMS",
				"AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
			},
			"LocalDiskEncryptionConfiguration" : {
				"EncryptionKeyProviderType" : "Custom",
				"S3Object" : "arn:aws:s3:::artifacts/MyKeyProvider.jar",
				"EncryptionKeyProviderClass" : "com.mycompany.MyKeyProvider.jar"
			}
		}
	}
}'

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
	"EncryptionConfiguration": {
		"EnableInTransitEncryption" : "true",
		"EnableAtRestEncryption" : "true",
		"InTransitEncryptionConfiguration" : {
			"TLSCertificateConfiguration" : {
				"CertificateProviderType" : "Custom",
				"S3Object" : "s3://MyConfig/artifacts/MyCerts.jar", 
				"CertificateProviderClass" : "com.mycompany.MyCertProvider"
			}
		},
		"AtRestEncryptionConfiguration" : {
			"S3EncryptionConfiguration" : {
				"EncryptionMode" : "CSE-Custom",
				"S3Object" : "s3://MyConfig/artifacts/MyCerts.jar", 
				"EncryptionKeyProviderClass" : "com.mycompany.MyKeyProvider"
				},
			"LocalDiskEncryptionConfiguration" : {
				"EncryptionKeyProviderType" : "Custom",
				"S3Object" : "s3://MyConfig/artifacts/MyCerts.jar",
				"EncryptionKeyProviderClass" : "com.mycompany.MyKeyProvider"
			}
		}
	}
}'

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MySecConfig" --security-configuration '{
  	"EncryptionConfiguration": {
   		"AtRestEncryptionConfiguration": {
      	     	"S3EncryptionConfiguration": {
        			"EncryptionMode" : "SSE-KMS",
        			"AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012",
        			"Overrides" : [
         				 {
           				 "BucketName" : "sse-s3-bucket-name",
            				"EncryptionMode" : "SSE-S3"
          				},
          				{
            				"BucketName" : "cse-kms-bucket-name",
           				 "EncryptionMode" : "CSE-KMS",
            				"AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
         				 },
         				 {
           				 "BucketName" : "sse-kms-bucket-name",
          				  "EncryptionMode" : "SSE-KMS",
           				 "AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
          				}
        					]
      							}
   						 	},
   		"EnableInTransitEncryption": false,
    		"EnableAtRestEncryption": true
  }
}'

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MyS3EncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption" : false,
        "EnableAtRestEncryption" : true,
        "AtRestEncryptionConfiguration" : {
            "S3EncryptionConfiguration" : {
                "EncryptionMode" : "SSE-S3"
            }
        }
     }
}'   

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption" : false,
        "EnableAtRestEncryption" : true,
        "AtRestEncryptionConfiguration" : {
            "LocalDiskEncryptionConfiguration" : {
                "EncryptionKeyProviderType" : "AwsKms",
                "AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}'  

下面的示例将说明以下情景：

aws emr create-security-configuration --name "MyLocalDiskEncryptionConfig" --security-configuration '{
    "EncryptionConfiguration": {
        "EnableInTransitEncryption" : false,
        "EnableAtRestEncryption" : true,
        "AtRestEncryptionConfiguration" : {
            "LocalDiskEncryptionConfiguration" : {
                "EnableEbsEncryption" : true,
                "EncryptionKeyProviderType" : "AwsKms",
                "AwsKmsKey" : "arn:aws:kms:us-east-1:123456789012:key/12345678-1234-1234-1234-123456789012"
            }
        }
     }
}' 

加密设置的 JSON 引用

下表列出了用于加密设置的 JSON 参数并提供了每个参数的可接受值描述。

配置 Kerberos 身份验证

包含 Kerberos 设置的安全配置只能由使用 Kerberos 属性创建的集群使用，否则会发生错误。有关更多信息，请参阅Use Kerberos Authentication。仅在 Amazon EMR 发行版 5.10.0 及更高版本中提供了 Kerberos。

使用控制台指定 Kerberos 设置

根据以下准则选择 Kerberos authentication (Kerberos 身份验证) 下的选项。

使用 AWS CLI 指定 Kerberos 设置

以下参考表显示了安全配置中 Kerberos 设置的 JSON 参数。有关示例配置，请参阅Configuration Examples。

为处理 EMRFS 对 IAM 的请求配置 Amazon S3 角色

IAMEMRFS 的 角色让您能够为 中的 EMRFS 数据提供不同权限。Amazon S3您可以创建角色映射，来指定在访问请求包含您指定的标识符时用来获得权限的 IAM 角色。标识符可以是 Hadoop 用户或角色，或 Amazon S3 前缀。

有关更多信息，请参阅为处理 EMRFS 对 IAM 的请求配置 Amazon S3 角色。

使用 IAM 指定 EMRFS 的 AWS CLI 角色

下面是在安全配置中为 EMRFS 指定自定义 IAM 角色的 JSON 代码段示例。它演示三个不同标识符类型的角色映射，后跟参数引用。

{
  "AuthorizationConfiguration": {
    "EmrFsConfiguration": {
      "RoleMappings": [{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
        "IdentifierType": "User",
        "Identifiers": [ "user1" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
        "IdentifierType": "Prefix",
        "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
      },{
        "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
        "IdentifierType": "Group",
        "Identifiers": [ "AdminGroup" ]
      }]
    }
  }
}

配置对Amazon EC2实例的元数据服务请求

实例元数据 是有关您的实例的数据，可以用来配置或管理正在运行的实例。您可以使用以下其中一种方法，从正在运行的实例中访问实例元数据：

虽然 Amazon EC2 同时支持 IMDSv1 和 IMDSv2但在 Amazon EMR 5.23.1、5.27.1、5.32 或更高版本和 6.2 或更高版本中Amazon EMR支持 IMDSv2。在这些版本中Amazon EMR，组件将 IMDSv2 用于所有 IMDS 调用。对于应用程序代码中的 IMDS 调用，您可以使用 IMDSv1 和 IMDSv2或将 IMDS 配置为仅使用 IMDSv2 来提高安全性。当您指定必须使用 IMDSv2 时IMDSv1 不再有效。

有关更多信息，请参阅 中的https://docs.amazonaws.cn/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html配置实例元数据服务Amazon EC2 用户指南（适用于 Linux 实例）。

使用 指定实例元数据服务配置 AWS CLI

下面是用于在安全配置中指定 Amazon EC2 实例元数据服务 (IMDS) 的 JSON 代码段示例。

{
  "InstanceMetadataServiceConfiguration" : {
      "MinimumInstanceMetadataServiceVersion": integer,
      "HttpPutResponseHopLimit": integer
   }
}

使用控制台指定实例元数据服务配置

您可以在从 Amazon EMR 控制台启动集群时配置对集群的 IMDS 的使用。

有关更多信息，请参阅 中的https://docs.amazonaws.cn/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html配置实例元数据服务Amazon EC2 用户指南（适用于 Linux 实例）。

请参阅 中的https://docs.amazonaws.cn/AWSEC2/latest/UserGuide/launching-instance.html#configure_instance_details_step配置实例详细信息和配置实例元数据服务Amazon EC2 用户指南（适用于 Linux 实例）。