如何使用自訂ECS應用角色訪問同帳號雲資源 - E-MapReduce

本文介紹在E-MapReduce控制台上，通過建立叢集時在基礎配置頁面的進階設定地區設定ECS應用角色，實現以免密的方式訪問同帳號下的其它資源。例如，Object Storage Service和Log ServiceSLS。

背景資訊

您在建立叢集時可以使用自訂的角色，通過給該角色不同的權限原則，以限制叢集訪問外部資源的許可權。例如，您可以進行如下操作：

已在OSS管理主控台，建立與EMR叢集同一地區下的儲存空間，詳情請參見控制台建立儲存空間。

進入建立自訂權限原則頁面。
1. 使用雲帳號登入RAM控制台。
2. 在RAM存取控制頁面，選擇許可權管理 > 權限原則。
3. 在權限原則頁面，單擊建立權限原則。
在建立權限原則頁面，單擊指令碼編輯頁簽。
輸入權限原則內容，然後單擊確定。
添加如下策略。
```
{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "oss:GetObject",
                "oss:ListObjects"
            ],
            "Resource": [
                "acs:oss:*:*:emr-logs2",
                "acs:oss:*:*:emr-logs2/*"
            ],
            "Effect": "Allow"
        }
    ]
}
```
說明
策略中涉及的元素如下所示：
- Action：是指對具體資源的操作。本樣本是OSS的讀取和查詢目錄的許可權。
- Resource：是指被授權的具體對象。本樣本是訪問名為emr-logs2的OSS Bucket及其中的內容。
更多權限原則的基本元素，請參見權限原則基本元素。
輸入權限原則名稱。
本樣本為test-emr。
單擊確定。

在RAM存取控制頁面，選擇身份管理 > 角色。
在角色頁面，單擊建立角色。
建立RAM角色。
1. 單擊阿里雲服務。
2. 單擊下一步。
3. 在配置角色面板，配置以下資訊。
  參數
  描述
  角色名稱
  本樣本為test-emr。
  選擇受信服務
  選擇雲端服務器。
4. 單擊完成。
可選：修改授信服務。
重要
如果您建立的叢集是EMR 3.32之後版本、EMR 4.5之後版本或EMR 5.x及之後版本，則無需執行本步驟。
1. 在角色頁面，單擊剛建立的角色名稱。
2. 單擊信任策略頁簽。
3. 單擊編輯信任策略。
4. 修改ecs.aliyuncs.com為emr.aliyuncs.com。
5. 單擊儲存信任策略。
添加相應許可權。
1. 在角色頁面，單擊剛建立角色名稱的操作列的新增授權。
2. 在新增授權頁面，選擇自訂策略，添加建立的權限原則。
3. 單擊確認新增授權。
4. 單擊關閉。

Q：建立叢集時提示NoPermission。
A：您可以參照如下方式排查解決。
1. 您建立叢集使用的使用者是否有建立叢集和更換ECS應用角色的許可權，如果該RAM使用者權限為AliyunEMRDevelopAccess可以修改為AliyunEMRFullAccess。
2. 建立叢集時ECS應用角色名稱是否填寫正確。
3. 授信策略是否修改為emr.aliyuncs.com。
Q：HDFS無法訪問OSS路徑。
A：您可以參照如下方式排查解決。
1. 確認訪問的OSS Bucket是否和叢集在同一個地區（Region），如果不在同一地區（Region），在訪問連結中需要添加相應的Endpoint。
2. 確認訪問的OSS Bucket是否包含在建立的權限原則中，如果沒有，需要修改權限原則。
3. 確認是否在OSS控制台上設定了該Bucket的相關許可權。如果設定了相關許可權，您可以在OSS控制台上取消相關許可權的設定，通過設定權限原則中的Action內容來設定相關許可權。