为处理 EMRFS 对 Amazon S3 的请求配置 IAM 角色

更新 IAM 角色的信任策略

使用 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

1. 选择 Roles (角色)，在 Search (搜索) 中输入角色的名称，然后选择其 Role name (角色名称)。

2. 选择信任关系，然后选择编辑信任关系。

3. 根据 Policy Document（策略文档）和上述指南添加信任语句，然后选择 Update Trust Policy（更新信任策略）。

使用控制台指定用于处理 EMRFS 对 Amazon S3 的请求的 IAM 角色

1. 创建一个安全配置来指定角色映射：

   1. 在 Amazon EMR 控制台中，依次选择 Security configurations (安全配置) 和 Create (创建)。

   2. 键入安全配置的 Name (名称)。在创建集群时，使用此名称来指定安全配置。

   3. 选择 Use IAM roles for EMRFS requests to Amazon S3（使用 IAM 角色处理 EMRFS 对 Amazon S3 的请求）。

   4. 选择要应用的 IAM role（IAM 角色），在 Basis for access（访问基础）下的列表中选择标识符类型 [Users（用户）、Groups（组）或 S3 prefixes（S3 前缀）]，然后输入相应标识符。如果使用多个标识符，请将它们以逗号分隔，不要包含空格。有关每个标识符类型的更多信息，请参阅以下 JSON configuration reference。

   5. 选择Add role (添加角色)设置其它角色映射，如上一步所述。

   6. 根据需要设置其它安全配置选项，然后选择 Create (创建)。有关更多信息，请参阅使用 Amazon EMR 控制台或使用 Amazon CLI。

2. 创建集群时，指定在上面创建的安全配置。有关更多信息，请参阅 指定 Amazon EMR 集群的安全配置。

要为向 Amazon S3 发出的 EMRFS 请求指定 IAM 角色，请使用 Amazon CLI

1. 使用 aws emr create-security-configuration 命令，并指定安全配置的名称以及 JSON 格式的安全配置详细信息。

   下面所示的示例命令创建名为 EMRFS_Roles_Security_Configuration 的安全配置。它基于保存在执行该命令的目录下的文件 MyEmrfsSecConfig.json 中的 JSON 结构。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   按照以下准则处理 MyEmrFsSecConfig.json 文件的结构。您可以与其它安全配置选项的结构一起指定此结构。有关更多信息，请参阅使用 Amazon EMR 控制台或使用 Amazon CLI。

   以下是一个示例 JSON 代码段，用于在安全配置中为 EMRFS 指定自定义 IAM 角色。它演示了三种不同标识符类型的角色映射，后跟参数引用。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_demo_s3_buckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://amzn-s3-demo-bucket1/","s3://amzn-s3-demo-bucket2/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   参数	描述
   "AuthorizationConfiguration":	必需。
   "EmrFsConfiguration":	必需。包含角色映射。
   "RoleMappings":	必需。包含一个或多个角色映射定义。按照角色映射的先后顺序对角色映射进行评估。对于 Amazon S3 中的 EMRFS 数据调用，如果角色映射评估为 true，则不会评估其它角色映射，并且 EMRFS 将使用指定的 IAM 角色进行请求。角色映射由以下必需参数组成：
   "Role":	以 arn:aws:iam::account-id:role/role-name 格式指定 IAM 角色的 ARN 标识符。如果 EMRFS 对 Amazon S3 的请求与指定的任何 Identifiers 匹配，则这是 Amazon EMR 承担的 IAM 角色。
   "IdentifierType":	可以是以下值之一： "User" 指定标识符是一个或多个 Hadoop 用户，可以是 Linux 账户用户或 Kerberos 主体。如果 EMRFS 请求来自一个或多个指定用户，则担任 IAM 角色。 "Prefix" 指定该标识符是 Amazon S3 位置。用于调用具有指定前缀的一个或多个位置时代入 IAM 角色。例如，前缀 s3://amzn-s3-demo-bucket/ 匹配 s3://amzn-s3-demo-bucket/mydir 和 s3://amzn-s3-demo-bucket/yetanotherdir。 "Group" 指定标识符是一个或多个 Hadoop 组。如果请求来自指定组或组中的用户，则代入 IAM 角色。
   "Identifiers":	指定一个或多个相应标识符类型的标识符。用逗号分隔多个标识符，不含空格。

2. 使用 aws emr create-cluster 命令创建集群，并指定上一步中创建的安全配置。

   以下示例创建一个安装了默认核心 Hadoop 应用程序的集群。集群使用上面创建的安全配置EMRFS_Roles_Security_Configuration，还使用自定义 Amazon EMR 角色用于 EC2EC2_Role_EMR_Restrict_S3，该角色使用InstanceProfile参数的参数指定。--ec2-attributes

   注意

   为了便于读取，包含 Linux 行继续符（\）。它们可以通过 Linux 命令删除或使用。对于 Windows，请将它们删除或替换为脱字号（^）。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-7.9.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration