Configurez les autorisations pour activer la mise en vente et le lancement d'EMRapplications Amazon depuis SageMaker Studio

Étape 1 : Récupérez le ARN compartiment Amazon S3 que vous utilisez pour les sources de données et le stockage des données de sortie dans la console Amazon S3.

Pour savoir comment trouver un compartiment par son nom, consultez Accéder à un compartiment Amazon S3 et le répertorier. Pour plus d'informations sur la création d'un compartiment Amazon S3, consultez Création d'un compartiment.

Étape 2 : Créez au moins un rôle d'exécution de tâches pour votre application EMR Serverless dans votre compte (voir le EMRServerlessRuntimeExecutionRoleA schéma de cas d'utilisation du compte unique ci-dessus). Choisissez Custom trust policy comme entité de confiance. Ajoutez les autorisations requises par votre travail. Au minimum, vous avez besoin d'un accès complet à un compartiment Amazon S3, ainsi que d'un accès en création et en lecture au catalogue de AWS Glue données.

Pour obtenir des instructions détaillées sur la création d'un nouveau rôle d'exécution pour vos applications EMR Serverless, procédez comme suit :

1. Accédez à la console IAM.

2. Dans le volet de navigation de gauche, choisissez Policy, puis Create policy.

3. Ajoutez les autorisations requises par votre rôle d'exécution, nommez la politique, puis choisissez Create policy.

   Vous pouvez vous référer à la section Job runtime roles for EMR Serverless pour trouver des exemples de politiques d'exécution pour un rôle d'exécution EMR sans serveur.

4. Dans le volet de navigation de gauche, choisissez Rôles, puis Créer un rôle.

5. Sur la page Créer un rôle, choisissez Politique de confiance personnalisée comme entité de confiance.

6. Collez le JSON document suivant dans la section Politique de confiance personnalisée, puis choisissez Suivant.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. Sur la page Ajouter des autorisations, ajoutez la politique que vous avez créée, puis choisissez Next.

8. Sur la page Révision, entrez un nom pour le rôle, par exemple EMRServerlessAppRuntimeRoleA et une description facultative.

9. Passez en revue les détails du rôle, puis choisissez Créer un rôle.

Grâce à ces rôles, vous et vos collègues pouvez vous connecter à la même application, chacun utilisant un rôle d'exécution assorti d'autorisations correspondant à votre niveau individuel d'accès aux données.

Étape 3 : Récupérez le rôle ARN d'exécution de l' SageMaker IA utilisé par votre espace privé.

Pour plus d'informations sur les espaces et les rôles d'exécution dans SageMaker l'IA, consultezComprendre les autorisations d'espace de domaine et les rôles d'exécution.

Pour plus d'informations sur la façon de récupérer le rôle ARN d'exécution de l' SageMaker IA, consultezObtenez votre rôle d'exécution.

Étape 4 : Attachez les autorisations suivantes au rôle d'exécution SageMaker AI accédant à votre application EMR Serverless.

1. Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/sagemaker/.

2. Choisissez Rôles, puis recherchez votre rôle d'exécution par son nom dans le champ Rechercher. Le nom du rôle est la dernière partie duARN, après la dernière barre oblique (/).

3. Suivez le lien vers votre rôle.

4. Choisissez Ajouter des autorisations, puis Créer une politique en ligne.

5. Dans l'JSONonglet, ajoutez les autorisations Amazon EMR Serverless permettant l'accès et les EMR opérations sans serveur. Pour plus de détails sur le document de politique, voir Politiques EMR sans serveur dansPolitiques de référence. Remplacez region le ou accountID les instructions transmises EMRServerlessAppRuntimeRole par leurs valeurs réelles avant de copier la liste des instructions dans la politique intégrée de votre rôle.

   Note

   Vous pouvez inclure autant de ARN chaînes de rôles d'exécution que nécessaire dans l'autorisation, en les séparant par des virgules.

6. Choisissez Next, puis saisissez un nom de politique.

7. Choisissez Create Policy (Créer une politique).

8. Répétez l'étape Créer une politique intégrée pour ajouter une autre politique intégrée accordant au rôle les autorisations nécessaires pour mettre à jour les domaines, les profils utilisateur et les espaces. Pour plus de détails sur le document SageMakerUpdateResourcesPolicy de politique, voir Politique relative aux actions de mise à jour du domaine, du profil utilisateur et de l'espace dansPolitiques de référence. Remplacez les instructions region et accountID par leurs valeurs réelles avant de copier la liste des instructions dans la politique intégrée de votre rôle.

Étape 5 :

Associez la liste des rôles d'exécution à votre profil utilisateur ou à votre domaine afin de pouvoir parcourir visuellement la liste des rôles et sélectionner celui à utiliser lors de la connexion à une application EMR sans serveur depuis JupyterLab. Vous pouvez utiliser la console SageMaker AI ou le script suivant. Par la suite, toutes vos tâches Apache Spark ou Apache Hive créées à partir de votre bloc-notes accèderont uniquement aux données et aux ressources autorisées par les politiques associées au rôle d'exécution sélectionné.

Étape 1 : créez au moins un rôle d'exécution de tâches pour votre application EMR Serverless dans votre compte (voir EMRServerlessRuntimeExecutionRoleB le schéma multi-comptes ci-dessus). Choisissez Custom trust policy comme entité de confiance. Ajoutez les autorisations requises par votre travail. Au minimum, vous avez besoin d'un accès complet à un compartiment Amazon S3, ainsi que d'un accès en création et en lecture au catalogue de AWS Glue données.

Pour obtenir des instructions détaillées sur la création d'un nouveau rôle d'exécution pour vos applications EMR Serverless, procédez comme suit :

1. Accédez à la console IAM.

2. Dans le volet de navigation de gauche, choisissez Policy, puis Create policy.

3. Ajoutez les autorisations requises par votre rôle d'exécution, nommez la politique, puis choisissez Create policy.

   Pour des exemples de politiques d'exécution d'un rôle d'exécution EMR sans serveur, consultez la section Rôles d'exécution Job pour Amazon EMR Serverless.

4. Dans le volet de navigation de gauche, choisissez Rôles, puis Créer un rôle.

5. Sur la page Créer un rôle, choisissez Politique de confiance personnalisée comme entité de confiance.

6. Collez le JSON document suivant dans la section Politique de confiance personnalisée, puis choisissez Suivant.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. Sur la page Ajouter des autorisations, ajoutez la politique que vous avez créée, puis choisissez Next.

8. Sur la page Révision, entrez un nom pour le rôle, par exemple EMRServerlessAppRuntimeRoleB et une description facultative.

9. Passez en revue les détails du rôle, puis choisissez Créer un rôle.

Grâce à ces rôles, vous et vos collègues pouvez vous connecter à la même application, chacun utilisant un rôle d'exécution assorti d'autorisations correspondant à votre niveau individuel d'accès aux données.

Étape 2 : Créez un IAM rôle personnalisé nommé AssumableRole avec la configuration suivante :

En assumant ce rôle, Studio peut obtenir un accès temporaire aux autorisations dont il a besoin dans le compte EMR Serverless.

Pour obtenir des instructions détaillées sur la façon de créer un nouveau compte AssumableRole dans votre AWS compte EMR Serverless, procédez comme suit :

1. Accédez à la console IAM.

2. Dans le volet de navigation de gauche, choisissez Policy, puis Create policy.

3. Dans l'JSONonglet, ajoutez les autorisations Amazon EMR Serverless permettant l'accès et les EMR opérations sans serveur. Pour plus de détails sur le document de politique, voir Politiques EMR sans serveur dansPolitiques de référence. Remplacez region le ou accountID les instructions transmises EMRServerlessAppRuntimeRole par leurs valeurs réelles avant de copier la liste des instructions dans la politique intégrée de votre rôle.

   Note

   EMRServerlessAppRuntimeRoleVoici le rôle d'exécution du job runtime créé à l'étape 1 (EMRServerlessAppRuntimeRoleBdans le schéma multi-comptes ci-dessus). Vous pouvez inclure autant de ARN chaînes de rôles d'exécution que nécessaire dans l'autorisation, en les séparant par des virgules.

4. Choisissez Next, puis saisissez un nom de politique.

5. Choisissez Create Policy (Créer une politique).

6. Dans le volet de navigation de gauche, choisissez Rôles, puis Créer un rôle.

7. Sur la page Créer un rôle, choisissez Politique de confiance personnalisée comme entité de confiance.

8. Collez le JSON document suivant dans la section Politique de confiance personnalisée, puis choisissez Suivant.

   studio-accountRemplacez-le par l'ID du compte Studio et AmazonSageMaker-ExecutionRole par le rôle d'exécution utilisé par votre JupyterLab espace.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. Sur la page Ajouter des autorisations, ajoutez l'autorisation EMRServerlessAppRuntimeRoleB que vous avez créée à l'étape 2, puis choisissez Suivant.

10. Sur la page Révision, entrez un nom pour le rôle, par exemple AssumableRole et une description facultative.

11. Passez en revue les détails du rôle, puis choisissez Créer un rôle.

Pour plus d'informations sur la création d'un rôle sur un AWS compte, consultez Création d'un IAM rôle (console).

Étape 1 : Récupérez le rôle ARN d'exécution de l' SageMaker IA utilisé par votre espace.

Pour plus d'informations sur les espaces et les rôles d'exécution dans SageMaker l'IA, consultezComprendre les autorisations d'espace de domaine et les rôles d'exécution.

Pour plus d'informations sur la façon de récupérer le rôle ARN d'exécution de l' SageMaker IA, consultezObtenez votre rôle d'exécution.

Étape 2 : Attachez les autorisations suivantes au rôle d'exécution SageMaker AI accédant à votre application EMR Serverless.

1. Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

2. Choisissez Rôles, puis recherchez votre rôle d'exécution par son nom dans le champ Rechercher. Le nom du rôle est la dernière partie duARN, après la dernière barre oblique (/).

3. Suivez le lien vers votre rôle.

4. Choisissez Ajouter des autorisations, puis Créer une politique en ligne.

5. Dans l'JSONonglet, ajoutez la politique intégrée accordant au rôle les autorisations nécessaires pour mettre à jour les domaines, les profils utilisateur et les espaces. Pour plus de détails sur le document SageMakerUpdateResourcesPolicy de politique, voir Politique relative aux actions de mise à jour du domaine, du profil utilisateur et de l'espace dansPolitiques de référence. Remplacez les instructions region et accountID par leurs valeurs réelles avant de copier la liste des instructions dans la politique intégrée de votre rôle.

6. Choisissez Next, puis saisissez un nom de politique.

7. Choisissez Create Policy (Créer une politique).

8. Répétez l'étape Créer une politique en ligne pour ajouter une autre politique accordant au rôle d'exécution l'autorisation d'assumer AssumableRole puis d'exécuter les actions autorisées par la politique d'accès du rôle.

   emr-accountRemplacez-le par l'ID du compte Amazon EMR Serverless et AssumableRole par le nom du rôle assumé créé dans le compte Amazon EMR Serverless.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

Étape 3 :

Associez la liste des rôles d'exécution à votre domaine ou à votre profil utilisateur afin de pouvoir parcourir visuellement la liste des rôles et sélectionner celui à utiliser lors de la connexion à une application EMR sans serveur depuis JupyterLab. Vous pouvez utiliser la console SageMaker AI ou le script suivant. Par la suite, toutes vos tâches Apache Spark ou Apache Hive créées à partir de votre bloc-notes accèderont uniquement aux données et aux ressources autorisées par les politiques associées au rôle d'exécution sélectionné.