Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Beispielrichtlinien für private Subnetze, die auf Amazon S3 zugreifen

Wenn Sie einen Amazon EMR-Cluster in einem privaten Subnetz starten, müssen Sie eine Route zu Amazon S3 angeben. Standardmäßig ermöglicht ein Gateway-Endpunkt für Amazon S3 den Zugriff auf alle Buckets. Sie können eine VPC-Endpunktrichtlinie erstellen, um den Zugriff auf bestimmte Buckets einzuschränken. In diesem Fall müssen Sie Policy-Statements hinzufügen, die den Zugriff auf die spezifischen S3-Buckets ermöglichen, die von Amazon EMR benötigt werden. Weitere Informationen zu Amazon S3-Endpunkten finden Sie unter Gateway-Endpunkte für Amazon S3.

Es ist dem Benutzer überlassen, den Businessanforderungen entsprechende Richtlinieneinschränkungen festzulegen. Auf dieser Seite werden die Buckets beschrieben, die Amazon EMR benötigt, um einen Cluster erfolgreich zu starten, gefolgt von einer Beispiel-VPC-Endpunktrichtlinie, die den Zugriff auf diese Buckets gewährt.

Erforderliche Buckets

Amazon Linux AMI-Repositorys

Alle Amazon EMR-Cluster benötigen Zugriff auf Amazon Linux-Repositorys. Die spezifischen Bucket-ARNs hängen von der verwendeten Version von Amazon Linux ab, die von der verwendeten Amazon EMR-Version abhängt:

Amazon EMR-Repositorys

Amazon EMR 5.22.0 und höher benötigen Zugriff auf den EMR-Repository-Bucket arn:aws:s3:::repo.region.emr.amazonaws.com.

Amazon EMR 8.0.0 und höher sowie Amazon EMR Spark 8.0.0 und höher benötigen Zugriff auf die EMR-Instance-Daten-Buckets arn:aws:s3:::aws157-instance-data-0-prod-region und arn:aws:s3:::aws157-instance-data-1-prod-region.

In der Region AP-Southeast-2 werden diese Buckets stattdessen benannt arn:aws:s3:::aws157-instance-data-bucket-0-prod-ap-southeast-2 und arn:aws:s3:::aws157-instance-data-bucket-1-prod-ap-southeast-2.

Protokollierung

Wenn Sie die Cluster-Protokollierung aktivieren, benötigen Sie PUT-Berechtigungen für den Bucket, den Sie beim Erstellen des Clusters als Protokollziel angegeben haben, sowie für den Systemprotokoll-Bucket. In der Region us-east-1 lautet der Bucket-ARN arn:aws:s3:::aws157-logs-prod; für alle anderen Regionen lautet der Bucket-ARN arn:aws:s3:::aws157-logs-prod-region.

Persistente Anwendungsbenutzeroberflächen

Bei Amazon EMR 5.25.0 oder höher müssen Sie Amazon EMR den Zugriff auf den System-Bucket ermöglichen, der Anwendungsprotokolle sammelt, um den Zugriff auf persistente Anwendungsbenutzeroberflächen mit einem Klick zu ermöglichen. arn:aws:s3:::prod.region.appinfo.src. Weitere Informationen finden Sie unter Zeigen Sie persistente Anwendungsbenutzeroberflächen in Amazon EMR an.

Beispielrichtline

Die folgende Beispielrichtlinie stellt die erforderlichen Berechtigungen bereit, um einen Amazon EMR 8.0.0-Cluster in einem privaten Subnetz in der Region US-East-2 zu starten, wobei Protokollierung und persistente Anwendungsbenutzeroberflächen aktiviert sind.

{
  "Version":"2012-10-17", 
  "Statement": [
    {
      "Sid": "AmazonLinux2023AMIRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::al2023-repos-us-east-2-de612dc2/*"
      ]
    },
    {
      "Sid": "EmrRepositoryAccess",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::repo.us-east-2.emr.amazonaws.com/*",
        "arn:aws:s3:::aws157-instance-data-0-prod-us-east-2/*",
        "arn:aws:s3:::aws157-instance-data-1-prod-us-east-2/*"
      ]
    },
    {
      "Sid": "EnableClusterLogs",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:Put*"
      ],
      "Resource": [
        "arn:aws:s3:::aws157-logs-prod-us-east-2/*",
        "arn:aws:s3:::my-logs-bucket/*"
      ]
    },
    {
      "Sid": "EnableApplicationHistory",
      "Effect": "Allow",
      "Principal": "*",
      "Action": [
        "s3:Put*",
        "s3:Get*",
        "s3:Create*",
        "s3:Abort*",
        "s3:List*"
      ],
      "Resource": [
        "arn:aws:s3:::prod.us-east-2.appinfo.src/*"
      ]
    }
  ]
}