Configure IAM Roles for EMRFS Requests to Amazon S3

更新 IAM 角色的信任策略

通过以下网址打开 IAM 控制台：https://console.amazonaws.cn/iam/。

1. 选择 Roles (角色)，在 Search (搜索) 中输入角色的名称，然后选择其 Role name (角色名称)。

2. 选择信任关系，然后选择编辑信任关系。

3. 根据 Policy Document (策略文档) 和上述指南添加信任语句，然后选择 Update Trust Policy (更新信任策略)。

使用控制台指定用于处理 EMRFS 对 Amazon S3 的请求的 IAM 角色

1. 创建一个安全配置来指定角色映射：

   1. 在 Amazon EMR 控制台中，依次选择 Security configurations (安全配置)、Create (创建)。

   2. 键入安全配置的 Name (名称)。在创建集群时，使用此名称来指定安全配置。

   3. 选择 Use IAM roles for EMRFS requests to Amazon S3 (使用 IAM 角色处理 EMRFS 对 Amazon S3 的请求)。

   4. 选择要应用的 IAM role (IAM 角色)，在 Basis for access (访问基础) 下的列表中选择标识符类型（Users (用户)、Groups (组) 或 S3 prefixes (S3 前缀)），然后输入相应标识符。如果使用多个标识符，请将它们以逗号分隔，不要包含空格。有关每个标识符类型的更多信息，请参阅以下 JSON configuration reference。

   5. 选择Add role (添加角色)设置其他角色映射，如上一步所述。

   6. 根据需要设置其他安全配置选项，然后选择Create (创建)。有关更多信息，请参阅 创建安全配置。)

2. 创建集群时，指定在上面创建的安全配置。有关更多信息，请参阅 为集群指定安全配置。)

使用 AWS CLI 指定用于处理 EMRFS 对 Amazon S3 的请求的 IAM 角色

1. 使用 aws emr create-security-configuration 命令，并指定安全配置的名称以及 JSON 格式的安全配置详细信息。

   下面显示的示例命令创建了名称的安全配置 EMRFS_Roles_Security_Configuration。它基于文件中的JSON结构 MyEmrfsSecConfig.json，它保存在命令执行的同一目录中。

   aws emr create-security-configuration --name EMRFS_Roles_Security_Configuration --security-configuration file://MyEmrFsSecConfig.json.

   使用以下指导原则 MyEmrFsSecConfig.json 文件。您可以与其他安全配置选项的结构一起指定此结构。有关更多信息，请参阅 创建安全配置。)

   下面是在安全配置中为 EMRFS 指定自定义 IAM 角色的 JSON 代码段示例。它演示三个不同标识符类型的角色映射，后跟参数引用。

   {
     "AuthorizationConfiguration": {
       "EmrFsConfiguration": {
         "RoleMappings": [{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_user1",
           "IdentifierType": "User",
           "Identifiers": [ "user1" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_to_MyBuckets",
           "IdentifierType": "Prefix",
           "Identifiers": [ "s3://MyBucket/","s3://MyOtherBucket/" ]
         },{
           "Role": "arn:aws:iam::123456789101:role/allow_EMRFS_access_for_AdminGroup",
           "IdentifierType": "Group",
           "Identifiers": [ "AdminGroup" ]
         }]
       }
     }
   }
   

   参数	说明
   "AuthorizationConfiguration":	必填项。
   "EmrFsConfiguration":	必填项。包含角色映射。
   "RoleMappings":	必填项。包含一个或多个角色映射定义。角色映射按它们出现的自上而下顺序进行计算。如果针对 Amazon S3 中的数据发出 EMRFS 调用时，某个角色映射的评估结果为 true，则不会评估其他角色映射，并且 EMRFS 将对该请求使用指定的 IAM 角色。角色映射包括以下必需参数：
   "Role":	以 arn:aws:iam::account-id:role/role-name 格式指定 IAM 角色的 ARN 标识符。这是在对 Amazon S3 的 EMRFS 请求与任何指定的 Identifiers 匹配时 Amazon EMR 会采用的 IAM 角色。
   "IdentifierType":	可以是以下值之一： "User" 指定标识符是一个或多个可以是 Linux 账户用户或 Kerberos 委托人的 Hadoop 用户。当 EMRFS 请求源自指定的一个或多个用户时，将会采用 IAM 角色。 "Prefix" 指定标识符是 Amazon S3 位置。对于对具有指定前缀的一个或多个位置的调用，将会采用 IAM 角色。例如，前缀 s3://mybucket/ 与 s3://mybucket/mydir 和 s3://mybucket/yetanotherdir 匹配。 "Group" 指定标识符是一个或多个 Hadoop 组。如果请求源自一个或多个指定组中的用户，将会采用 IAM 角色。
   "Identifiers":	指定相应标识符类型的一个或多个标识符。用逗号分隔多个标识符，不带空格。

2. 使用 aws emr create-cluster 命令创建集群，并指定上一步中创建的安全配置。

   以下示例创建一个安装了默认核心 Hadoop 应用程序的集群。该集群使用上面创建的安全配置作为 EMRFS_Roles_Security_Configuration，还使用 EC2 的自定义 EMR 角色 EC2_Role_EMR_Restrict_S3，该角色由 InstanceProfile 参数的 --ec2-attributes 变量指定。

   注意

   包含了 Linux 行继续符 (\) 以提高可读性。可以在 Linux 命令中删除或使用它们。对于 Windows，请删除它们或将其替换为脱字号 (^)。

   aws emr create-cluster --name MyEmrFsS3RolesCluster \
   --release-label emr-5.31.0 --ec2-attributes InstanceProfile=EC2_Role_EMR_Restrict_S3,KeyName=MyKey \
   --instance-type m5.xlarge --instance-count 3 \
   --security-configuration EMRFS_Roles_Security_Configuration