Configura los permisos para habilitar la publicación y el lanzamiento de EMR aplicaciones de Amazon desde SageMaker Studio

Paso 1: Recupere el bucket ARN de Amazon S3 que utiliza para las fuentes de datos y almacene los datos de salida en la consola de Amazon S3.

Para obtener información sobre cómo encontrar un bucket por su nombre, consulte Acceder a un bucket de Amazon S3 y publicarlo. Para obtener información sobre cómo crear un bucket de Amazon S3, consulte Creación de un bucket.

Paso 2: Cree al menos un rol de ejecución de tareas en tiempo de ejecución para su aplicación EMR sin servidor en su cuenta (el EMRServerlessRuntimeExecutionRoleA diagrama de casos de uso de una sola cuenta que se muestra arriba). Elija la política de confianza personalizada como entidad de confianza. Añada los permisos necesarios para su trabajo. Como mínimo, necesita acceso total a un bucket de Amazon S3 y acceso de creación y lectura al catálogo de AWS Glue datos.

Para obtener instrucciones detalladas sobre cómo crear una nueva función de ejecución en tiempo de ejecución para sus aplicaciones EMR sin servidor, siga estos pasos:

1. Vaya a la consola de IAM.

2. En el panel de navegación izquierdo, selecciona Política y, a continuación, Crear política.

3. Agregue los permisos necesarios para su función de tiempo de ejecución, asigne un nombre a la política y, a continuación, elija Crear política.

   Puede consultar Funciones de tiempo de ejecución de Job para EMR Serverless para encontrar ejemplos de políticas de tiempo de ejecución para un rol de tiempo de ejecución de EMR Serverless.

4. En el panel de navegación izquierdo, elija Roles y, a continuación, Crear rol.

5. En la página Crear rol, elija Política de confianza personalizada como entidad de confianza.

6. Pegue el siguiente JSON documento en la sección Política de confianza personalizada y, a continuación, seleccione Siguiente.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. En la página Añadir permisos, añade la política que has creado y, a continuación, selecciona Siguiente.

8. En la página de revisión, introduzca un nombre para el rol, por ejemplo, EMRServerlessAppRuntimeRoleA y una descripción opcional.

9. Revise los detalles del rol y seleccione Crear rol.

Con estos roles, tú y tus compañeros de equipo podéis conectaros a la misma aplicación, y cada uno de ellos utilizará un rol en tiempo de ejecución con permisos que se ajusten a vuestro nivel individual de acceso a los datos.

Paso 3: recupera la función ARN de SageMaker ejecución utilizada en tu espacio privado.

Para obtener información sobre los espacios y las funciones de ejecución SageMaker, consulteDescripción de los permisos del espacio de dominio y las funciones de ejecución.

Para obtener más información sobre cómo recuperar la función ARN SageMaker de ejecución de of, consulteConsiga su función de ejecución.

Paso 4: Adjunta los siguientes permisos a la función de SageMaker ejecución que accede a la aplicación sin servidor. EMR

1. Abra la consola de IAM en https://console.aws.amazon.com/sagemaker/.

2. Elija Funciones y, a continuación, busque su función de ejecución por su nombre en el campo de búsqueda. El nombre del rol es la última parte deARN, después de la última barra diagonal (/).

3. Sigue el enlace hasta tu función.

4. Selecciona Añadir permisos y, a continuación, Crear política en línea.

5. En la JSONpestaña, añada los permisos de Amazon EMR Serverless que permiten el acceso y las EMR operaciones sin servidor. Para obtener más información sobre el documento de política, consulte las políticas EMRsin servidor en. Políticas de referencia Sustituya el region, accountID, y pasó EMRServerlessAppRuntimeRole(s) con sus valores reales antes de copiar la lista de declaraciones a la política en línea de su función.

   nota

   Puede incluir tantas ARN cadenas de funciones en tiempo de ejecución como necesite en el permiso, separándolas con comas.

6. Elija Siguiente y, a continuación, proporcione un nombre de política.

7. Elija Crear política.

8. Repita el paso Crear una política en línea para agregar otra política en línea que otorgue al rol permisos para actualizar los dominios, los perfiles de usuario y los espacios. Para obtener más información sobre el documento SageMakerUpdateResourcesPolicy de política, consulte la política de acciones de actualización de dominios, perfiles de usuario y espacios en. Políticas de referencia Sustituya el region y accountID con sus valores reales antes de copiar la lista de declaraciones a la política en línea de su función.

Paso 5:

Asocie la lista de funciones en tiempo de ejecución a su perfil de usuario o dominio para que pueda examinar visualmente la lista de funciones y seleccionar la que desee utilizar al conectarse a una aplicación EMR sin servidor. JupyterLab Puede utilizar la SageMaker consola o el siguiente script. Posteriormente, todos los trabajos de Apache Spark o Apache Hive creados desde su portátil accederán únicamente a los datos y recursos permitidos por las políticas asociadas a la función de ejecución seleccionada.

Paso 1: Cree al menos una función de ejecución de tareas en tiempo de ejecución para su aplicación EMR sin servidor en su cuenta (como se muestra EMRServerlessRuntimeExecutionRoleB en el diagrama de cuentas cruzadas anterior). Elija la política de confianza personalizada como entidad de confianza. Añada los permisos necesarios para su trabajo. Como mínimo, necesita acceso total a un bucket de Amazon S3 y acceso de creación y lectura al catálogo de AWS Glue datos.

Para obtener instrucciones detalladas sobre cómo crear una nueva función de ejecución en tiempo de ejecución para sus aplicaciones EMR sin servidor, siga estos pasos:

1. Vaya a la consola de IAM.

2. En el panel de navegación izquierdo, selecciona Política y, a continuación, Crear política.

3. Agregue los permisos necesarios para su función de tiempo de ejecución, asigne un nombre a la política y, a continuación, elija Crear política.

   Para ver ejemplos de políticas de tiempo de ejecución de un rol de tiempo de ejecución EMR sin servidor, consulte Funciones de tiempo de ejecución de Job para Amazon EMR Serverless.

4. En el panel de navegación izquierdo, elija Roles y, a continuación, Crear rol.

5. En la página Crear rol, elija Política de confianza personalizada como entidad de confianza.

6. Pegue el siguiente JSON documento en la sección Política de confianza personalizada y, a continuación, seleccione Siguiente.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. En la página Añadir permisos, añade la política que has creado y, a continuación, selecciona Siguiente.

8. En la página de revisión, introduzca un nombre para el rol, por ejemplo, EMRServerlessAppRuntimeRoleB y una descripción opcional.

9. Revise los detalles del rol y seleccione Crear rol.

Con estos roles, tú y tus compañeros de equipo podéis conectaros a la misma aplicación, y cada uno de ellos utilizará un rol en tiempo de ejecución con permisos que se ajusten a vuestro nivel individual de acceso a los datos.

Paso 2: Crea un IAM rol personalizado AssumableRole con el nombre de la siguiente configuración:

Al asumir el rol, Studio puede obtener acceso temporal a los permisos que necesita en la cuenta EMR Serverless.

Para obtener instrucciones detalladas sobre cómo crear una cuenta nueva AssumableRole en tu AWS cuenta EMR Serverless, sigue estos pasos:

1. Vaya a la consola de IAM.

2. En el panel de navegación izquierdo, selecciona Política y, a continuación, Crear política.

3. En la JSONpestaña, añada los permisos de Amazon EMR Serverless que permiten el acceso y las EMR operaciones sin servidor. Para obtener más información sobre el documento de política, consulte las políticas EMRsin servidor en. Políticas de referencia Sustituya las region instrucciones y las pasadas por EMRServerlessAppRuntimeRole sus valores reales antes de copiar la lista de sentencias a la política interna de su función. accountID

   nota

   EMRServerlessAppRuntimeRoleEsta es la función de ejecución del trabajo en tiempo de ejecución creada en el paso 1 (el EMRServerlessAppRuntimeRoleB diagrama de cuentas cruzadas anterior). Puede incluir en el permiso tantas ARN cadenas de funciones en tiempo de ejecución como necesite, separándolas con comas.

4. Elija Siguiente y, a continuación, proporcione un nombre de política.

5. Elija Crear política.

6. En el panel de navegación izquierdo, elija Funciones y, a continuación, Crear función.

7. En la página Crear rol, elija Política de confianza personalizada como entidad de confianza.

8. Pegue el siguiente JSON documento en la sección Política de confianza personalizada y, a continuación, seleccione Siguiente.

   studio-accountSustitúyalo por el ID de cuenta de Studio y AmazonSageMaker-ExecutionRole por el rol de ejecución que utilice tu JupyterLab espacio.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. En la página Añadir permisos, añade el permiso EMRServerlessAppRuntimeRoleB que creaste en el paso 2 y, a continuación, selecciona Siguiente.

10. En la página de revisión, introduzca un nombre para el rol, por ejemplo, AssumableRole y una descripción opcional.

11. Revise los detalles del rol y seleccione Crear rol.

Para obtener más información sobre la creación de un rol en una AWS cuenta, consulte Crear un IAM rol (consola).

Paso 1: recupera la función ARN de SageMaker ejecución que utiliza tu espacio.

Para obtener información sobre los espacios y las funciones de ejecución SageMaker, consulteDescripción de los permisos del espacio de dominio y las funciones de ejecución.

Para obtener más información sobre cómo recuperar la función ARN SageMaker de ejecución de of, consulteConsiga su función de ejecución.

Paso 2: Adjunte los siguientes permisos a la función de SageMaker ejecución que accede a su aplicación EMR sin servidor.

1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. Elija Funciones y, a continuación, busque su función de ejecución por su nombre en el campo de búsqueda. El nombre del rol es la última parte deARN, después de la última barra diagonal (/).

3. Sigue el enlace hasta tu función.

4. Selecciona Añadir permisos y, a continuación, Crear política en línea.

5. En la JSONpestaña, agrega la política en línea que otorga al rol permisos para actualizar los dominios, los perfiles de usuario y los espacios. Para obtener más información sobre el documento SageMakerUpdateResourcesPolicy de política, consulte la política de acciones de actualización de dominios, perfiles de usuario y espacios enPolíticas de referencia. Sustituya las accountID letras region y por sus valores reales antes de copiar la lista de sentencias a la política integrada de su función.

6. Seleccione Siguiente y, a continuación, proporcione un nombre de política.

7. Elija Crear política.

8. Repita el paso Crear una política en línea para agregar otra política que conceda al rol de ejecución los permisos para asumir las acciones permitidas por la política de acceso de la función AssumableRole y, a continuación, realizar las acciones permitidas por ella.

   emr-accountSustitúyalo por el ID de cuenta de Amazon EMR Serverless y AssumableRole por el nombre del rol asumible creado en la cuenta de Amazon EMR Serverless.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

Paso 3:

Asocie la lista de funciones en tiempo de ejecución a su dominio o perfil de usuario para que pueda examinar visualmente la lista de funciones y seleccionar la que desee utilizar al conectarse a una aplicación EMR sin servidor. JupyterLab Puede utilizar la SageMaker consola o el siguiente script. Posteriormente, todos los trabajos de Apache Spark o Apache Hive creados desde su portátil accederán únicamente a los datos y recursos permitidos por las políticas asociadas a la función de ejecución seleccionada.