Comment créer un cluster EMR avec le chiffrement de volume EBS ?

Brève description

Le chiffrement Amazon EBS s'intègre à AWS KMS pour fournir les clés de chiffrement qui protègent vos données. Avec la version 5.24.0 et les versions ultérieures d'Amazon EMR, vous pouvez activer le chiffrement Amazon EBS. L'option de chiffrement Amazon EBS chiffre le volume du périphérique racine Amazon EBS et les volumes de stockage associés. Pour plus d'informations, consultez la section Chiffrement du disque local.

Pour chiffrer les volumes EBS sur votre cluster EMR, activez le chiffrement par défaut pour les volumes EBS au niveau du compte. Vous pouvez également créer une clé KMS et une configuration de sécurité Amazon EMR pour chiffrer les volumes EBS pour un cluster EMR spécifique.

Résolution

Activer le chiffrement par défaut pour les volumes EBS au niveau du compte

Pour plus d'informations, consultez la section Activer le chiffrement Amazon EBS par défaut.

Créez une clé AWS KMS et une configuration de sécurité Amazon EMR pour chiffrer les volumes EBS pour un cluster EMR spécifique

Créer une clé KMS

Pour créer une nouvelle clé KMS, procédez comme suit :

1. Ouvrez la console AWS KMS.
2. Dans le volet de navigation, sélectionnez Clés gérées par le client.
3. Sélectionnez Créer une clé.
4. Pour Type de clé, sélectionnez Symétrique.
5. Pour Utilisation de la clé, sélectionnez Chiffrer et déchiffrer.
6. Sélectionnez Suivant.
7. Pour Alias, saisissez un alias pour la clé.
8. Sélectionnez Suivant.
9. Pour Administrateur de clés, choisissez un administrateur de clés.
10. Sélectionnez Suivant.
11. Sélectionnez le rôle de service Amazon EMR. Le rôle par défaut est EMR_DefaultRole.
12. Sélectionnez le rôle du profil d’instance Amazon Elastic Compute Cloud (Amazon EC2). Le rôle par défaut pour le profil d'instance est EMR_EC2_DefaultRole.
13. Sélectionnez Suivant.
14. Sélectionnez Terminer.

Si vous utilisez un rôle de service Amazon EMR personnalisé, ajoutez la politique suivante au rôle avant de provisionner le cluster EMR.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey",
                "kms:CreateGrant",
                "kms:ListGrants"
            ],
            "Resource": [
                "arn:aws:kms:region:account-id:key/########-####-####-####-############"
            ]
        }
    ]
}

Créer et paramétrer la configuration de sécurité Amazon EMR

Procédez comme suit :

1. Ouvrez la console Amazon EMR.
2. Dans le volet de navigation, sous EMR sur EC2, sélectionnez Configurations de sécurité.
3. Sélectionnez Créer.
4. Saisissez le nom de la configuration de sécurité et sélectionnez Choisir les paramètres personnalisés.
5. Sous Chiffrement, choisissez Activer le chiffrement au repos pour le disque local.
6. Pour Mode de chiffrement, choisissez AWS KMS.
7. Pour Choisir votre clé AWS KMS, choisissez l'ARN de clé de votre clé KMS.
8. Sous Chiffrement des volumes EBS, sélectionnez Chiffrer les volumes EBS avec le chiffrement EBS.
9. Choisissez Suivant, puis Créer.

Provisionner un cluster EMR avec la configuration de sécurité

Si vous utilisez la console Amazon EMR pour créer votre cluster EMR, dans Configuration de sécurité, choisissez la configuration de sécurité que vous avez créée dans la section précédente.

Lorsque vous créez des clusters EMR par d'autres méthodes, utilisez la configuration que vous venez de créer pour spécifier la configuration de sécurité.