为处理 EMRFS 对 Amazon S3 的请求配置 IAM 角色

更新 IAM 角色的信任策略

通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

1. 选择 Roles (角色)，在 Search (搜索) 中输入角色的名称，然后选择其 Role name (角色名称)。

2. 选择信任关系，然后选择编辑信任关系。

3. 根据 Policy Document（策略文档）和上述指南添加信任语句，然后选择 Update Trust Policy（更新信任策略）。

使用控制台指定用于处理 EMRFS 对 Amazon S3 的请求的 IAM 角色

1. 创建一个安全配置来指定角色映射：

   1. 在 Amazon EMR 控制台中，依次选择 Security configurations (安全配置) 和 Create (创建)。

   2. 键入安全配置的 Name (名称)。在创建集群时，使用此名称来指定安全配置。

   3. 选择 Use IAM roles for EMRFS requests to Amazon S3（使用 IAM 角色处理 EMRFS 对 Amazon S3 的请求）。

   4. 选择要应用的 IAM role（IAM 角色），在 Basis for access（访问基础）下的列表中选择标识符类型 [Users（用户）、Groups（组）或 S3 prefixes（S3 前缀）]，然后输入相应标识符。如果使用多个标识符，请将它们以逗号分隔，不要包含空格。有关每个标识符类型的更多信息，请参阅以下 JSON configuration reference。

   5. 选择Add role (添加角色)设置其它角色映射，如上一步所述。

   6. 根据需要设置其它安全配置选项，然后选择 Create (创建)。有关更多信息，请参阅创建安全配置。

2. 创建集群时，指定在上面创建的安全配置。有关更多信息，请参阅为集群指定安全配置。

使用 Amazon CLI 指定用于处理 EMRFS 对 Amazon S3 的请求的 IAM 角色

1. 使用 aws emr create-security-configuration 命令，并指定安全配置的名称以及 JSON 格式的安全配置详细信息。

   下面所示的示例命令创建名为 EMRFS_Roles_Security_Configuration 的安全配置。它基于保存在执行该命令的目录下的文件 MyEmrfsSecConfig.json 中的 JSON 结构。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   按照以下准则处理 MyEmrFsSecConfig.json 文件的结构。您可以与其它安全配置选项的结构一起指定此结构。有关更多信息，请参阅创建安全配置。

   以下是一个示例 JSON 代码段，用于在安全配置中为 EMRFS 指定自定义 IAM 角色。它演示了三种不同标识符类型的角色映射，后跟参数引用。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   参数	描述
   "AuthorizationConfiguration":	必需。
   "EmrFsConfiguration":	必需。包含角色映射。
   "RoleMappings":	必需。包含一个或多个角色映射定义。按照角色映射的先后顺序对角色映射进行评估。对于 Amazon S3 中的 EMRFS 数据调用，如果角色映射评估为 true，则不会评估其它角色映射，并且 EMRFS 将使用指定的 IAM 角色进行请求。角色映射由以下必需参数组成：
   "Role":	以 arn:aws:iam::account-id:role/role-name 格式指定 IAM 角色的 ARN 标识符。如果 EMRFS 对 Amazon S3 的请求与指定的任何 Identifiers 匹配，则这是 Amazon EMR 承担的 IAM 角色。
   "IdentifierType":	可以是以下值之一： "User" 指定标识符是一个或多个 Hadoop 用户，可以是 Linux 账户用户或 Kerberos 主体。如果 EMRFS 请求来自一个或多个指定用户，则担任 IAM 角色。 "Prefix" 指定该标识符是 Amazon S3 位置。用于调用具有指定前缀的一个或多个位置时代入 IAM 角色。例如，前缀 s3://mybucket/ 匹配 s3://mybucket/mydir 和 s3://mybucket/yetanotherdir。 "Group" 指定标识符是一个或多个 Hadoop 组。如果请求来自指定组或组中的用户，则代入 IAM 角色。
   "Identifiers":	指定一个或多个相应标识符类型的标识符。用逗号分隔多个标识符，不含空格。

2. 使用 aws emr create-cluster 命令创建集群，并指定上一步中创建的安全配置。

   以下示例创建一个安装了默认核心 Hadoop 应用程序的集群。该集群使用上面创建的安全配置作为 EMRFS_Roles_Security_Configuration，还使用 EC2 的自定义 Amazon EMR 角色 EC2_Role_EMR_Restrict_S3，该角色由 InstanceProfile 参数的 --ec2-attributes 变量指定。

   注意

   为了便于读取，包含 Linux 行继续符 (\)。它们可以通过 Linux 命令删除或使用。对于 Windows，请将它们删除或替换为脱字号（^）。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-5.36.1 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration