Configura le autorizzazioni per abilitare la pubblicazione e l'avvio di applicazioni Amazon EMR da Studio SageMaker

Passaggio 1: recupera l'ARN del bucket Amazon S3 che usi per le sorgenti di dati e l'archiviazione dei dati di output nella console Amazon S3.

Per informazioni su come trovare un bucket in base al nome, consulta Accedere ed elencare un bucket Amazon S3. Per informazioni su come creare un bucket Amazon S3, consulta Creazione di un bucket.

Fase 2: Creare almeno un ruolo di esecuzione del job runtime per l'applicazione EMR Serverless nel proprio account (vedi il diagramma del caso d'uso EMRServerlessRuntimeExecutionRoleA nel singolo account riportato sopra). Scegli Custom Trust Policy come entità affidabile. Aggiungi le autorizzazioni richieste dal tuo lavoro. Come minimo, è necessario l'accesso completo a un bucket Amazon S3 e l'accesso per la creazione e la lettura a AWS Glue Data Catalog.

Per istruzioni dettagliate su come creare un nuovo ruolo di esecuzione di runtime per le applicazioni EMR Serverless, procedi nel seguente modo:

1. Passare alla IAM console (Console IAM).

2. Nel riquadro di navigazione a sinistra, scegli Policy, quindi Crea policy.

3. Aggiungi le autorizzazioni richieste dal tuo ruolo di runtime, assegna un nome alla policy e quindi scegli Crea policy.

   È possibile fare riferimento ai ruoli Job runtime per EMR Serverless per trovare policy di runtime di esempio per un ruolo di runtime EMR Serverless.

4. Nel riquadro di navigazione a sinistra, scegli Ruoli, quindi Crea ruolo.

5. Nella pagina Crea ruolo, scegli Criteri di fiducia personalizzati come entità attendibile.

6. Incolla il seguente documento JSON nella sezione Politica di fiducia personalizzata, quindi scegli Avanti.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. Nella pagina Aggiungi autorizzazioni, aggiungi la politica che hai creato e quindi scegli Avanti.

8. Nella pagina Revisione, inserisci un nome per il ruolo, ad EMRServerlessAppRuntimeRoleA esempio una descrizione opzionale.

9. Verifica i dettagli del ruolo e scegli Create role (Crea ruolo).

Con questi ruoli, tu e i tuoi colleghi del team potete connettervi alla stessa applicazione, utilizzando ciascuno un ruolo di runtime con autorizzazioni corrispondenti al vostro livello individuale di accesso ai dati.

Passaggio 3: recupera l'ARN del ruolo di esecuzione SageMaker dell'IA utilizzato dal tuo spazio privato.

Per informazioni sugli spazi e sui ruoli di esecuzione nell' SageMaker intelligenza artificiale, consulta. Comprendere lo spazio di dominio, le autorizzazioni e i ruoli di esecuzione.

Per ulteriori informazioni su come recuperare l'ARN del ruolo di esecuzione SageMaker dell'IA, vedere. Assumi il tuo ruolo di esecuzione

Passaggio 4: Associa le seguenti autorizzazioni al ruolo di esecuzione SageMaker AI che accede alla tua applicazione EMR Serverless.

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/sagemaker/.

2. Scegli Ruoli, quindi cerca il tuo ruolo di esecuzione per nome nel campo Cerca. Il nome del ruolo è l'ultima parte dell'ARN, dopo l'ultima barra (/).

3. Segui il link al tuo ruolo.

4. Scegli Aggiungi autorizzazioni e poi Crea politica in linea.

5. Nella scheda JSON, aggiungi le autorizzazioni Amazon EMR Serverless che consentono l'accesso e le operazioni EMR Serverless. Per i dettagli sul documento di policy, vedere EMR Serverless policies in. Politiche di riferimento Sostituisci i valori regionaccountID, e quelli passati EMRServerlessAppRuntimeRole con i loro valori effettivi prima di copiare l'elenco delle istruzioni nella politica in linea del tuo ruolo.

   Nota

   È possibile includere tutte le stringhe ARN di ruoli di runtime necessarie all'interno dell'autorizzazione, separandole con virgole.

6. Scegli Avanti e quindi fornisci un nome per la policy.

7. Scegli Create Policy (Crea policy).

8. Ripeti il passaggio Crea policy in linea per aggiungere un'altra policy in linea che conceda al ruolo le autorizzazioni per aggiornare i domini, i profili utente e gli spazi. Per i dettagli sul documento di SageMakerUpdateResourcesPolicy policy, consulta la policy relativa alle azioni di aggiornamento del dominio, del profilo utente e dello spazio in. Politiche di riferimento Sostituisci region and accountID con i relativi valori effettivi prima di copiare l'elenco delle istruzioni nella politica in linea del tuo ruolo.

Fase 5:

Associa l'elenco dei ruoli di runtime al tuo profilo utente o dominio in modo da poter sfogliare visivamente l'elenco dei ruoli e selezionare quello da utilizzare per la connessione a un'applicazione EMR Serverless. JupyterLab È possibile utilizzare la console SageMaker AI o il seguente script. Successivamente, tutti i job Apache Spark o Apache Hive creati dal notebook accederanno solo ai dati e alle risorse consentiti dalle politiche allegate al ruolo di runtime selezionato.

Fase 1: Creare almeno un ruolo di esecuzione del job runtime per l'applicazione EMR Serverless nel proprio account (come nel diagramma dell'EMRServerlessRuntimeExecutionRoleBaccount Cross riportato sopra). Scegli Custom Trust Policy come entità attendibile. Aggiungi le autorizzazioni richieste dal tuo lavoro. Come minimo, è necessario l'accesso completo a un bucket Amazon S3 e l'accesso per la creazione e la lettura a AWS Glue Data Catalog.

Per istruzioni dettagliate su come creare un nuovo ruolo di esecuzione di runtime per le applicazioni EMR Serverless, procedi nel seguente modo:

1. Passare alla IAM console (Console IAM).

2. Nel riquadro di navigazione a sinistra, scegli Policy, quindi Crea policy.

3. Aggiungi le autorizzazioni richieste dal tuo ruolo di runtime, assegna un nome alla policy e quindi scegli Crea policy.

   Per esempi di policy di runtime di un ruolo di runtime EMR Serverless, consulta Job runtime roles for Amazon EMR Serverless.

4. Nel riquadro di navigazione a sinistra, scegli Ruoli e poi Crea ruolo.

5. Nella pagina Crea ruolo, scegli Criteri di fiducia personalizzati come entità attendibile.

6. Incolla il seguente documento JSON nella sezione Politica di fiducia personalizzata, quindi scegli Avanti.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. Nella pagina Aggiungi autorizzazioni, aggiungi la politica che hai creato e quindi scegli Avanti.

8. Nella pagina Revisione, inserisci un nome per il ruolo, ad EMRServerlessAppRuntimeRoleB esempio una descrizione opzionale.

9. Verifica i dettagli del ruolo e scegli Create role (Crea ruolo).

Con questi ruoli, tu e i tuoi colleghi del team potete connettervi alla stessa applicazione, utilizzando ciascuno un ruolo di runtime con autorizzazioni corrispondenti al vostro livello individuale di accesso ai dati.

Passaggio 2: crea un ruolo IAM personalizzato denominato AssumableRole con la seguente configurazione:

Assumendo il ruolo, Studio può ottenere l'accesso temporaneo alle autorizzazioni necessarie nell'account EMR Serverless.

Per istruzioni dettagliate su come creare un nuovo AssumableRole AWS account EMR Serverless, segui questi passaggi:

1. Passare alla IAM console (Console IAM).

2. Nel riquadro di navigazione a sinistra, scegli Policy, quindi Crea policy.

3. Nella scheda JSON, aggiungi le autorizzazioni Amazon EMR Serverless che consentono l'accesso e le operazioni EMR Serverless. Per i dettagli sul documento di policy, vedere EMR Serverless policies in. Politiche di riferimento Sostituisci i valori regionaccountID, e quelli passati EMRServerlessAppRuntimeRole con i loro valori effettivi prima di copiare l'elenco delle istruzioni nella politica in linea del tuo ruolo.

   Nota

   EMRServerlessAppRuntimeRoleEcco il ruolo di esecuzione del job runtime creato nel passaggio 1 (illustrato nel diagramma dell'EMRServerlessAppRuntimeRoleBaccount Cross riportato sopra). È possibile includere tutte le stringhe ARN di ruoli di runtime necessarie all'interno dell'autorizzazione, separandole con virgole.

4. Scegli Avanti e quindi fornisci un nome per la policy.

5. Scegli Create Policy (Crea policy).

6. Nel riquadro di navigazione a sinistra, scegli Ruoli, quindi Crea ruolo.

7. Nella pagina Crea ruolo, scegli Criteri di fiducia personalizzati come entità attendibile.

8. Incolla il seguente documento JSON nella sezione Politica di fiducia personalizzata, quindi scegli Avanti.

   Sostituiscilo studio-account con l'ID dell'account Studio e AmazonSageMaker-ExecutionRole con il ruolo di esecuzione utilizzato dal tuo JupyterLab spazio.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. Nella pagina Aggiungi autorizzazioni, aggiungi l'autorizzazione EMRServerlessAppRuntimeRoleB creata nel passaggio 2, quindi scegli Avanti.

10. Nella pagina Revisione, inserisci un nome per il ruolo, ad AssumableRole esempio una descrizione opzionale.

11. Verifica i dettagli del ruolo e scegli Create role (Crea ruolo).

Per ulteriori informazioni sulla creazione di un ruolo su un AWS account, consulta Creazione di un ruolo IAM (console).

Passaggio 1: recupera l'ARN del ruolo di esecuzione SageMaker dell'IA utilizzato dal tuo spazio.

Per informazioni sugli spazi e sui ruoli di esecuzione nell' SageMaker intelligenza artificiale, consulta. Comprendere lo spazio di dominio, le autorizzazioni e i ruoli di esecuzione.

Per ulteriori informazioni su come recuperare l'ARN del ruolo di esecuzione SageMaker dell'IA, vedere. Assumi il tuo ruolo di esecuzione

Fase 2: Associa le seguenti autorizzazioni al ruolo di esecuzione SageMaker AI che accede alla tua applicazione EMR Serverless.

1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

2. Scegli Ruoli, quindi cerca il tuo ruolo di esecuzione per nome nel campo Cerca. Il nome del ruolo è l'ultima parte dell'ARN, dopo l'ultima barra (/).

3. Segui il link al tuo ruolo.

4. Scegli Aggiungi autorizzazioni e poi Crea politica in linea.

5. Nella scheda JSON, aggiungi la politica in linea che concede al ruolo le autorizzazioni per aggiornare i domini, i profili utente e gli spazi. Per i dettagli sul documento di SageMakerUpdateResourcesPolicy policy, consulta la policy relativa alle azioni di aggiornamento del dominio, del profilo utente e dello spazio in. Politiche di riferimento Sostituisci region and accountID con i relativi valori effettivi prima di copiare l'elenco delle istruzioni nella politica in linea del tuo ruolo.

6. Scegli Avanti e quindi fornisci un nome per la politica.

7. Scegli Create Policy (Crea policy).

8. Ripeti il passaggio Crea politica in linea per aggiungere un'altra politica che conceda al ruolo di esecuzione le autorizzazioni necessarie per assumere AssumableRole e quindi eseguire le azioni consentite dalla politica di accesso del ruolo.

   Sostituisci emr-account con l'ID dell'account Amazon EMR Serverless e AssumableRole con il nome del ruolo ipotizzabile creato nell'account Amazon EMR Serverless.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

Fase 3:

Associa l'elenco dei ruoli di runtime al tuo dominio o profilo utente in modo da poter sfogliare visivamente l'elenco dei ruoli e selezionare quello da utilizzare per la connessione a un'applicazione EMR Serverless. JupyterLab È possibile utilizzare la console SageMaker AI o il seguente script. Successivamente, tutti i job Apache Spark o Apache Hive creati dal notebook accederanno solo ai dati e alle risorse consentiti dalle politiche allegate al ruolo di runtime selezionato.