EMR 클러스터 VPC 서브넷 선택 점검

설명

EMR 클러스터의 서브넷과 보안 그룹은 작업 데이터에 접근할 수 있는 네트워크 범위를 결정하는 데 중요합니다. 서브넷 선택이 명확하지 않으면 의도와 다른 네트워크에 배치될 수 있지만, 설정 생략을 VPC 외부 배치나 공개 접근으로 단정해서는 안 됩니다.

잠재적 영향

불필요한 네트워크 접근은 작업 데이터와 관리 인터페이스의 노출 범위를 넓힐 수 있습니다. 반대로 필수 서비스 경로가 없으면 클러스터 생성이나 작업이 실패할 수 있습니다.

해결 방법

인스턴스 그룹 구성에는 Instances.Ec2SubnetId, 인스턴스 플릿 구성에는 Instances.Ec2SubnetIds로 승인된 서브넷을 지정하세요. 두 구성을 혼용하지 마세요. 보안 그룹과 서비스 접근 경로를 제한하고, 프라이빗 배치에 필요한 서비스 접근 보안 그룹, NAT 또는 엔드포인트를 검토하세요.

예시

기존 인스턴스 그룹 템플릿에서 서브넷 선택을 비교합니다. 실제 사용 전 지원되는 릴리스·AMI 조합과 역할 권한, 네트워크 요구사항을 확인하세요.

변경 전

yaml

AWSTemplateFormatVersion: 2010-09-09
Parameters:
  CustomAmiId:
    Type: String
  InstanceType:
    Type: String
  ReleaseLabel:
    Type: String
  SubnetId:
    Type: String
  TerminationProtected:
    Type: String
    Default: 'false'
  ElasticMapReducePrincipal:
    Type: String
  Ec2Principal:
    Type: String
Resources:
  cluster:
    Type: AWS::EMR::Cluster
    Properties:
      CustomAmiId: !Ref CustomAmiId
      Instances:
        MasterInstanceGroup:
          InstanceCount: 1
          InstanceType: !Ref InstanceType
          Market: ON_DEMAND
          Name: cfnMaster
        CoreInstanceGroup:
          InstanceCount: 1
          InstanceType: !Ref InstanceType
          Market: ON_DEMAND
          Name: cfnCore
        TerminationProtected: !Ref TerminationProtected
      Name: CFNtest
      JobFlowRole: !Ref emrEc2InstanceProfile
      ServiceRole: !Ref emrRole
      ReleaseLabel: !Ref ReleaseLabel
      VisibleToAllUsers: true
      Tags:
        - Key: key1
          Value: value1
  emrRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: 2008-10-17
        Statement:
          - Sid: ''
            Effect: Allow
            Principal:
              Service: !Ref ElasticMapReducePrincipal
            Action: 'sts:AssumeRole'
      Path: /
      ManagedPolicyArns:
        - 'arn:aws:iam::aws:policy/service-role/AmazonElasticMapReduceRole'
  emrEc2Role:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: 2008-10-17
        Statement:
          - Sid: ''
            Effect: Allow
            Principal:
              Service: !Ref Ec2Principal
            Action: 'sts:AssumeRole'
      Path: /
      ManagedPolicyArns:
        - 'arn:aws:iam::aws:policy/service-role/AmazonElasticMapReduceforEC2Role'
  emrEc2InstanceProfile:
    Type: AWS::IAM::InstanceProfile
    Properties:
      Path: /
      Roles:
        - !Ref emrEc2Role

SubnetId 입력이 선언되어 있지만 클러스터의 인스턴스 구성에 연결되지 않았습니다.

변경 후