한 회사에서 여러 팀을 위한 Amazon EMR 클러스터를 생성할 예정입니다. 각 팀의 워크로드는 필요한 AWS 서비스에만 액세스할 수 있어야 합니다. 또한 회사는 워크로드가 클러스터 EC2 인스턴스에서 Instance Metadata Service Version 2 (IMDSv2)에 액세스할 수 없도록 하려고 합니다. 어떤 솔루션이 이러한 요구 사항을 충족할까요?

EMR 런타임 역할은 각 팀의 워크로드에 필요한 AWS 서비스에 대한 세분화된 권한을 제공합니다. 클러스터 EC2 인스턴스에 할당된 IAM 역할과 별도로 워크로드 수준에서 권한을 관리할 수 있어 최소 권한 원칙을 따릅니다. 또한, EMR 런타임 역할은 IMDSv2를 우회하여 워크로드가 인스턴스 메타데이터 서비스에 직접 접근하는 것을 방지합니다. 인터페이스 VPC 엔드포인트는 네트워크 접근을 제어하지만, 워크로드의 AWS 서비스 권한을 직접 관리하지는 않습니다. EC2 IAM 인스턴스 프로파일은 클러스터의 모든 워크로드에 동일한 권한을 부여하므로 팀별 세분화된 권한 요구 사항을 충족하지 못합니다. EnableApplicationScopedIAMRole 옵션을 false로 설정하는 것은 EMR 런타임 역할을 비활성화하는 것이므로 문제의 요구 사항과 반대됩니다.