EMR on ACK の権限付与 - E-MapReduce - Alibaba Cloud ドキュメントセンター

EMR on ACK をご利用になる前に、デフォルトのシステムロール AliyunEMROnACKDefaultRole を Alibaba Cloud アカウントに付与する必要があります。このトピックでは、このロールを付与する 2 つの方法について説明します。

自動権限付与

通常、EMR on ACK を初めて使用する際に、自動的に権限付与を求めるメッセージが表示されます。

E-MapReduce コンソールにログインします。
左側のナビゲーションペインで、[EMR on ACK] をクリックします。
[EMR on ACK] ページで、Authorize Now をクリックします。
[RAM クイック承認] ページで、ページ下部の 権限の付与に同意する をクリックします。

AliyunEMROnACKDefaultRole ロールがデフォルトで選択されています。

手動権限付与

誤って AliyunEMROnACKDefaultRole ロールを削除した場合や、ポリシーを変更して EMR on ACK が利用できなくなった場合は、次の手順に従って再度権限付与を行います。

ロールを作成します。
1. Resource Access Management (RAM) コンソールにログインします。
2. 左側のナビゲーションペインで、アイデンティティ > Roleを選択します。
3. Role ページで、Create Role をクリックします。
4. Create Roleパネルで、[プリンシパルタイプ]を[クラウドサービス]に、[プリンシパル名]を [ECS] に設定し、OK をクリックします。
  
  信頼されたエンティティの詳細については、「RAM ロールの作成とロールへの権限付与」をご参照ください。
5. 必要なロール情報を入力し、OK をクリックします。
  
  ロール名は AliyunEMROnACKDefaultRole に設定します。AliyunEMROnACKDefaultRole ロールがすでに存在する場合は、再度作成しないでください。

ポリシーをアタッチします。

Permission Settings タブで、Input and Attach をクリックします。

Input and Attach パネルで、権限タイプを選択し、ポリシー名を入力して、OK をクリックします。

AliyunEMROnACKDefaultRole ロールに、次の 3 つのポリシーをアタッチする必要があります。

ポリシー 1：システムポリシー (AliyunEMROnACKDefaultRolePolicy)

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cs:CreateCluster",
                "cs:GetClusterById",
                "cs:GetClusters",
                "cs:GetUserConfig",
                "cs:DeleteCluster",
                "cs:AttachInstances",
                "cs:DescribeClusterLogsRequest",
                "cs:GetClusterLogs",
                "cs:GetUserQuota",
                "cs:DescribeClusterNodes",
                "cs:GetNodepoolDetail",
                "cs:GetNodepools",
                "cs:UpdateNodepool",
                "cs:ScaleNodepools",
                "cs:DescribeClusterInnerServiceKubeconfig",
                "cs:RevokeClusterInnerServiceKubeconfig",
                "ecs:DescribeInstances"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

ポリシー 2：システムポリシー (AliyunEMRFullAccess)

{
    "Version": "1",
    "Statement": [
        {
            "Action": "emr:*",
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "cms:QueryMetricList",
                "ram:GetRole",
                "ram:ListRoles",
                "ram:ListUserBasicInfos",
                "ecs:DescribeZones",
                "ecs:DescribeInstanceTypes",
                "ecs:DescribeKeyPairs",
                "ecs:DescribeAvailableResource",
                "ecs:DescribeInstances",
                "ecs:DescribeSpotPriceHistory",
                "ecs:DescribeSpotAdvice",
                "ecs:DescribeInstanceStatus",
                "ecs:DescribeDeploymentSets",
                "vpc:DescribeVpcs",
                "vpc:DescribeVSwitches",
                "oss:ListBuckets",
                "dlf:DescribeRegions",
                "dlf:GetRegionStatus",
                "dlf:ListCatalogs"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "acs:Service": "emr.aliyuncs.com"
                }
            }
        },
        {
            "Action": "quotas:ListProductQuotas",
            "Resource": "acs:quotas:*:*:quota/ecs/*",
            "Effect": "Allow"
        },
        {
            "Action": "kms:DescribeAccountKmsStatus",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

ポリシー 3：カスタムポリシー (EmrOnAckPolicyV2)

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "ram:*"
            ],
            "Resource": [
                "acs:ram:*:*:domain/*",
                "acs:ram:*:*:application/*"
            ],
            "Effect": "Allow"
        }
    ]
}

説明

ロールを作成し、上記のポリシーをアタッチすると、EMR on ACK をご利用いただけるようになります。