Bir şirket, birden çok ekip için bir Amazon EMR kümesi oluşturacaktır. Her ekibin iş yükleri yalnızca ihtiyaç duydukları AWS hizmetlerine erişebilmelidir. Şirket ayrıca iş yüklerinin küme EC2 örneklerindeki Instance Metadata Service Version 2 (IMDSv2) hizmetine erişmesini istememektedir. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap EMR runtime rol'leri kullanmaktır. EMR runtime rol'leri, her ekibin iş yükleri için ayrıntılı izinler tanımlamanıza olanak tanır. Bu roller, iş yükleri çalışırken geçici kimlik bilgileri sağlar ve her ekibin yalnızca ihtiyaç duyduğu AWS hizmetlerine erişmesini garanti eder. Ayrıca, runtime rol'leri EC2 örneklerinin Instance Metadata Service Version 2 (IMDSv2) hizmetine doğrudan erişmesini engeller, çünkü iş yükleri kendi kimlik bilgilerini kullanır. Arayüz VPC endpoint'leri, özel ağ üzerinden AWS hizmetlerine güvenli erişim sağlar ancak iş yüklerinin kimlik doğrulama ve yetkilendirme ihtiyaçlarını doğrudan karşılamaz. EC2 IAM instance profilleri, tüm küme için geçerli olan tek bir yetkilendirme sağlar ve ekipler arası ayrıntılı izinleri desteklemez. EnableApplicationScopedIAMRole seçeneği false olarak ayarlanmış bir EMR güvenlik yapılandırması, uygulama düzeyinde rollerin kullanımını devre dışı bırakır ve bu da ayrıntılı izinleri yönetme yeteneğini sınırlar.