在用户开通 E-MapReduce 服务时,需要授予一个名称为“AliyunEMRDefaultRole”的系统默认角色给 E-MapReduce 的服务账号,当且仅当该角色被正确授予后,E-MapReduce 才能正常地调用相关服务(ECS,OSS 等),创建集群以及保存日志等。

注意

首次开通 E-MapReduce 服务时,必须使用主账号完成角色授权流程,否则子账号和主账号均不能使用 E-MapReduce 。

角色授权流程

  1. 当用户创建集群或创建按需执行计划时,如果没有正确地给 E-MapReduce 的服务账号授予默认角色,则会看到如下提示,此时需单击前往 RAM 进行授权,进行角色授权。
    EMR角色授权
  2. 单击同意授权,将默认角色 AliyunE-MapReduceDefaultRole 授予给 E-MapReduce 的服务账号。
    同意授权
  3. 当完成以上授权步骤后,用户需刷新 E-MapReduce 的控制台,然后就可以进行操作了。如果您想查看 AliyunE-MapReduceDefaultRole 相关的详细策略信息,可以登录 RAM 的控制台查看,也可以单击查看链接

默认角色包含的权限内容

默认角色 AliyunEMRDefaultRole 包含的权限信息如下:
  • ECS 相关权限:
    权限名称(Action) 权限说明
    ecs:CreateInstance 创建 ECS 实例
    ecs:RenewInstance ECS 实例续费
    ecs:DescribeRegions 查询 ECS 地域信息
    ecs:DescribeZones 查询 Zone 信息
    ecs:DescribeImages 查询镜像信息
    ecs:CreateSecurityGroup 创建安全组
    ecs:AllocatePublicIpAddress 分配公网 IP
    ecs:DeleteInstance 删除机器实例
    ecs:StartInstance 启动机器实例
    ecs:StopInstance 停止机器实例
    ecs:DescribeInstances 查询机器实例
    ecs:DescribeDisks 查询机器相关磁盘信息
    ecs:AuthorizeSecurityGroup 设置安全组入规则
    ecs:AuthorizeSecurityGroupEgress 设置安全组出规则
    ecs:DescribeSecurityGroupAttribute 查询安全组详情
    ecs:DescribeSecurityGroups 查询安全组列表信息
  • OSS 相关权限:
    权限名称(Action) 权限说明
    oss:PutObject 上传文件或文件夹对象
    oss:GetObject 获取文件或文件夹对象
    oss:ListObjects 查询文件列表信息

子账户授权

为确保子账号能正常使用 E-MapReduce控制台的功能,需要使用主账号登录RAM控制台给子账号授予AliyunEMRFullAccess或AliyunEMRDevelopAccess策略。否则会有如下错误提示:
提示信息
说明
  • AliyunEMRFullAccess策略授予子账号的权限是管理E-MapReduce的权限,主要包括对EMR的所有资源的所有操作权限;
  • AliyunEMRDevelopAccess策略授予子账号的权限是E-MapReduce开发者权限,与AliyunEMRFullAccess策略相比,不授予集群的创建和释放等操作权限。

    关于RAM子账号,策略,角色等,请参考RAM产品介绍