Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer l'accès réseau pour votre EMR cluster Amazon

Avant de commencer à utiliser Amazon EMR ou EMR Serverless pour vos tâches de préparation des données dans Studio, assurez-vous que vous ou votre administrateur avez configuré votre réseau pour autoriser la communication entre Studio et AmazonEMR. Une fois cette communication activée, vous pouvez choisir de :

Les instructions de mise en réseau varient selon que Studio et Amazon EMR sont déployés dans un Amazon Virtual Private Cloud privé (VPC) ou communiquent via Internet.

Par défaut, Studio ou Studio Classic s'exécutent dans un environnement AWS géré VPC avec accès à Internet. Lorsque vous utilisez une connexion Internet, Studio et Studio Classic accèdent à AWS des ressources, telles que les compartiments Amazon S3, via Internet. Toutefois, si vous avez des exigences de sécurité pour contrôler l'accès à vos données et à vos conteneurs de tâches, nous vous recommandons de configurer Studio ou Studio Classic et Amazon de EMR manière à ce que vos données et conteneurs ne soient pas accessibles sur Internet. Pour contrôler l'accès à vos ressources ou exécuter Studio ou Studio Classic sans accès public à Internet, vous pouvez spécifier le type d'accès VPC only réseau lors de votre intégration au SageMaker domaine Amazon. Dans ce scénario, Studio et Studio Classic établissent des connexions avec d'autres AWS services via des VPCpoints de terminaison privés. Pour plus d'informations sur la configuration de Studio ou Studio Classic en VPC only mode, voir Connecter les blocs-notes SageMaker Studio ou Studio Classic VPC à des ressources externes. .

Les deux premières sections décrivent comment garantir la communication entre Studio ou Studio Classic et Amazon EMR VPCs sans accès public à Internet. La dernière section explique comment garantir la communication entre Studio ou Studio Classic et Amazon EMR via une connexion Internet. Avant de connecter Studio ou Studio Classic à Amazon EMR sans accès à Internet, assurez-vous d'établir des points de terminaison pour Amazon Simple Storage Service (stockage des données), Amazon CloudWatch (journalisation et surveillance) et Amazon SageMaker Runtime (contrôle d'accès détaillé basé sur les rôles ()). RBAC

Pour connecter Studio ou Studio Classic à Amazon EMR :

Studio et Amazon EMR sont séparés VPCs

Pour autoriser la communication entre Studio ou Studio Classic et Amazon EMR lorsqu'ils sont déployés séparément VPCs :

Les étapes pour connecter Studio ou Studio Classic et Amazon EMR sont les mêmes, que les ressources soient déployées sur un seul AWS compte (cas d'utilisation avec un seul compte) ou sur plusieurs AWS comptes (cas d'utilisation entre comptes).

Le schéma suivant montre un exemple de VPC configuration Amazon qui permet aux JupyterLab blocs-notes Studio Classic de provisionner des EMR clusters Amazon à partir de AWS CloudFormation modèles du Service Catalog, puis de se connecter à un EMR cluster Amazon au sein du même AWS compte. Le schéma fournit une illustration supplémentaire des points de terminaison requis pour une connexion directe à divers AWS services, tels qu'Amazon S3 ou Amazon CloudWatch, lorsqu'ils n'VPCsont pas accès à Internet. Une NATpasserelle doit également être utilisée pour permettre aux instances situées dans plusieurs sous-réseaux privés de VPCs partager une seule adresse IP publique fournie par la passerelle Internet lors de l'accès à Internet.

Studio et Amazon EMR font la même chose VPC

Si Studio ou Studio Classic et Amazon EMR se trouvent dans des sous-réseaux différents, ajoutez des itinéraires à la table de routage de chaque sous-réseau privé pour acheminer le trafic entre Studio ou Studio Classic et les sous-réseaux AmazonEMR. Vous pouvez définir ces itinéraires en accédant à la section Tables de routage de chacun d'eux VPC dans le VPC tableau de bord. Si vous avez déployé Studio ou Studio Classic et Amazon EMR dans le même VPC sous-réseau, vous n'avez pas besoin d'acheminer le trafic entre le Studio et AmazonEMR.

Que vous deviez ou non mettre à jour vos tables de routage, le groupe de sécurité de votre domaine Studio ou Studio Classic doit autoriser le trafic sortant, et le groupe de sécurité du nœud EMR principal Amazon doit autoriser le trafic entrant sur les TCP ports Apache Livy, Hive ou Presto (respectivement 899810000, et8889) depuis le groupe de sécurité des instances Studio ou Studio Classic. Apache Livy est un service qui permet d'interagir avec un Amazon EMR via une REST interface.

Studio et Amazon EMR communiquent via Internet public

Par défaut, Studio et Studio Classic fournissent une interface réseau qui permet de communiquer avec Internet via une passerelle Internet VPC associée au SageMaker domaine. Si vous choisissez de vous connecter à Amazon EMR via l'Internet public, Amazon EMR doit accepter le trafic entrant sur les TCP ports Apache Livy, Hive ou Presto (respectivement 899810000, et8889) depuis sa passerelle Internet. Apache Livy est un service qui permet d'interagir avec Amazon EMR via une REST interface.

Gardez à l'esprit que tout port sur lequel vous autorisez le trafic entrant représente une faille de sécurité potentielle. Vérifiez attentivement les groupes de sécurité personnalisés pour vous assurer de réduire les failles de sécurité. Pour plus d'informations, consultez Contrôle du trafic réseau avec des groupes de sécurité.

Vous pouvez également consulter Blogs et livres blancs une procédure détaillée expliquant comment activer Kerberos sur Amazon EMR, configurer le cluster dans un sous-réseau privé et accéder au cluster à l'aide d'un Network Load Balancer (NLB) afin d'exposer uniquement des ports spécifiques, dont l'accès est contrôlé par des groupes de sécurité.