使用 EMRFS 属性指定 Amazon S3 加密

使用 Amazon Web Services Management Console指定 EMRFS 加密选项

1. 导航到 Amazon EMR 新控制台，然后从侧面导航栏中选择切换到旧控制台。有关切换到旧控制台后预期情况的更多信息，请参阅 Using the old console。

2. 依次选择 Create cluster (创建集群)、Go to advanced options (转到高级选项)。

3. 选择 Release (版本) 4.7.2 或更早版本。

4. 为 Software and Steps (软件和步骤) 选择适用于您的应用程序的其它选项，然后选择 Next (下一步)。

5. 在 Hardware (硬件) 和 General Cluster Settings (常规集群设置) 窗格中选择适用于您的应用程序的设置。

6. 在 Security (安全) 窗格上的 Authentication and encryption (身份验证和加密) 下，选择要使用的 S3 Encryption (with EMRFS) 选项。

   注意

   在使用 Amazon EMR 发行版 4.4 或更早版本时，S3 server-side encryption with KMS Key Management (利用 KMS Key Management 进行 S3 服务器端加密)（SSE-KMS）不可用。

   • 如果您选择一个使用 Amazon Key Management 的选项，请选择一个 Amazon KMS Key ID。有关更多信息，请参阅使用 Amazon KMS keys 进行 EMRFS 加密。

   • 如果您选择 S3 client-side encryption with custom materials provider (利用自定义材料提供程序进行 S3 客户端加密)，请提供 Class name (类名称) 和 JAR location (AR 位置)。有关更多信息，请参阅Amazon S3 客户端加密。

7. 选择适用于您的应用程序的其它选项，然后选择 Create Cluster (创建集群)。

将 Amazon EMR 的 EC2 实例配置文件添加到加密密钥用户列表中

1. 登录到 Amazon Web Services Management Console，然后通过以下网址打开 Amazon Key Management Service (Amazon KMS) 控制台：https://console.aws.amazon.com/kms。

2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

3. 选择要修改的 KMS 密钥的别名。

4. 在密钥详细信息页面的 Key Users (密钥用户) 下，选择 Add (添加)。

5. 在 Add key users (添加密钥用户) 对话框中，选择适当的角色。默认角色的名称为 EMR_EC2_DefaultRole。

6. 选择 Add（添加）。

使用 Amazon CLI 创建启用了 SSE-S3 的集群

• 键入以下命令：

  aws emr create-cluster --release-label emr-4.7.2 or earlier \
  --instance-count 3 --instance-type m5.xlarge --emrfs Encryption=ServerSide

使用 Amazon CLI 创建启用了 SSE-KMS 的集群

• 键入以下 Amazon CLI 命令以创建使用 SSE-KMS 的集群，其中 keyID 是一个 Amazon KMS key，例如 a4567b8-9900-12ab-1234-123a45678901：

  aws emr create-cluster --release-label emr-4.7.2 or earlier --instance-count 3 \
  --instance-type m5.xlarge --use-default-roles \
  --emrfs Encryption=ServerSide,Args=[fs.s3.serverSideEncryption.kms.keyId=keyId]

  --OR--

  使用 emrfs-site 分类键入以下 Amazon CLI 命令，并为配置 JSON 文件提供内容，如以下示例中的 myConfig.json 所示：

  aws emr create-cluster --release-label emr-4.7.2 or earlier --instance-count 3 --instance-type m5.xlarge --applications Name=Hadoop --configurations file://myConfig.json --use-default-roles
  

  myConfig.json 的示例内容：

  [
    {
      "Classification":"emrfs-site",
      "Properties": {
         "fs.s3.enableServerSideEncryption": "true",
         "fs.s3.serverSideEncryption.kms.keyId":"a4567b8-9900-12ab-1234-123a45678901"
      }
    }
  ]