如何建立具有 EBS 磁碟區加密的 EMR 叢集？

簡短說明

Amazon EBS 加密會與 AWS KMS 整合，以提供保護您資料的加密金鑰。從 Amazon EMR 5.24.0 版開始，您可以開啟 Amazon EBS 加密。Amazon EBS 加密選項會加密 Amazon EBS 根裝置磁碟區和連接的儲存體磁碟區。如需更多資訊，請參閱本機磁碟加密。

若要加密 EMR 叢集上的 EBS 磁碟區，請在帳戶層級依預設為 EBS 磁碟區開啟加密。或者，建立 KMS key 和 Amazon EMR 安全組態，以加密特定 EMR 叢集的 EBS 磁碟區。

解決方法

在帳戶層級依預設為 EBS 磁碟區開啟加密

如需更多資訊，請參閱依預設啟用 Amazon EBS 加密。

建立 AWS KMS key 和 Amazon EMR 安全組態，以加密特定 EMR 叢集的 EBS 磁碟區

建立 KMS key

若要建立新的 KMS key，請完成下列步驟：

1. 開啟 AWS KMS console (AWS KMS 主控台)。
2. 在導覽窗格中，選擇 Customer managed keys (客戶自管金鑰)。
3. 選擇 Create key (建立金鑰)。
4. 在 Key type (金鑰類型)，選取 Symmetric (對稱)。
5. 在 Key usage (金鑰用途)，選取 Encrypt and decrypt (加密與解密)。
6. 選擇 Next (下一步)。
7. 在 Alias (別名)，輸入金鑰的別名。
8. 選擇 Next (下一步)。
9. 在 Key administrator (金鑰管理員)，選擇金鑰管理員。
10. 選擇 Next (下一步)。
11. 選取 Amazon EMR service role (Amazon EMR 服務角色)。預設角色是 EMR_DefaultRole。
12. 選取 Amazon Elastic Compute Cloud (Amazon EC2) instance profile role (Amazon Elastic Compute Cloud (Amazon EC2) 執行個體設定檔角色)。執行個體設定檔的預設角色是 EMR_EC2_DefaultRole。
13. 選擇 Next (下一步)。
14. 選擇 Finish (完成)。

如果您使用自訂 Amazon EMR 服務角色，請先將下列政策新增至該角色，然後再佈建 EMR 叢集。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:ListGrants"
            ],
            "Resource": [
                "arn:aws:kms:region:account-id:key/########-####-####-####-############"
            ]
        }
    ]
}

建立並設定 Amazon EMR 安全組態

請完成下列步驟：

1. 開啟 Amazon EMR console (Amazon EMR 主控台)。
2. 在導覽窗格的 EMR on EC2 (EC2 上的 EMR) 之下，選擇 Security configurations (安全組態)。
3. 選擇 Create (建立)。
4. 輸入您的 Security configuration name (安全組態名稱)，然後選取 Choose custom settings (選擇自訂設定)。
5. 在 Encryption (加密) 之下，選擇 Turn on at-rest encryption for local disk (開啟本機磁碟靜態加密)。
6. 在 Encryption mode (加密模式)，選擇 AWS KMS。
7. 在 Choose your AWS KMS key (選擇您的 AWS KMS key)，選擇您 KMS key 的金鑰 ARN。
8. 在 EBS Volumes Encryption (EBS 磁碟區加密) 之下，選取 Encrypt EBS volumes with EBS encryption (使用 EBS 加密來加密 EBS 磁碟區)。
9. 選擇 Next (下一步)，然後選擇 Create (建立)。

使用安全組態佈建 EMR 叢集

如果您使用 Amazon EMR 主控台建立 EMR 叢集，請在 Security configuration (安全組態) 中選擇您在前一節建立的安全組態。

當您透過其他方法建立 EMR 叢集時，請使用您剛建立的組態來指定安全組態。