Configura EMR CloudFormation i modelli Amazon nel Service Catalog - Amazon SageMaker

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configura EMR CloudFormation i modelli Amazon nel Service Catalog

Questo argomento presuppone che gli amministratori abbiano dimestichezza con AWS CloudFormationi portafogli e i prodotti in esso contenuti AWS Service Catalog, oltre ad Amazon. EMR

Per semplificare la creazione di EMR cluster Amazon da Studio, gli amministratori possono registrare un EMR CloudFormation modello Amazon come prodotto in un AWS Service Catalogportafoglio. Per rendere il modello disponibile ai data scientist, devono associare il portfolio al ruolo di SageMaker esecuzione utilizzato in Studio o Studio Classic. Infine, per consentire agli utenti di scoprire modelli, effettuare il provisioning dei cluster e connettersi ai EMR cluster Amazon da Studio o Studio Classic, gli amministratori devono impostare le autorizzazioni di accesso appropriate.

I EMR AWS CloudFormation modelli Amazon possono consentire agli utenti finali di personalizzare vari aspetti del cluster. Ad esempio, gli amministratori possono definire un elenco approvato di tipi di istanze tra cui gli utenti possono scegliere durante la creazione di un cluster.

Le seguenti istruzioni utilizzano end-to-end CloudFormation gli stack per configurare un dominio Studio o Studio Classic, un profilo utente, un portafoglio Service Catalog e popolare un modello di EMR lancio Amazon. I passaggi seguenti evidenziano le impostazioni specifiche che gli amministratori devono applicare nel proprio end-to-end stack per consentire a Studio o Studio Classic di accedere ai prodotti Service Catalog e fornire i cluster AmazonEMR.

Nota

Il GitHub repository aws-samples/ sagemaker-studio-emr contiene end-to-end CloudFormation stack di esempi che distribuiscono i IAM ruoli, il networking, il dominio, il profilo SageMaker utente, il portafoglio Service Catalog necessari e aggiungono un modello di lancio Amazon. EMR CloudFormation I modelli offrono diverse opzioni di autenticazione tra Studio o Studio Classic e il EMR cluster Amazon. In questi modelli di esempio, lo CloudFormation stack principale passa SageMaker VPC i parametri del gruppo di sicurezza e della sottorete al modello di EMR cluster Amazon.

L'archivio sagemaker-studio-emr/cloudformation/emr_servicecatalog_templates contiene vari modelli di avvio di Amazon di esempio, incluse opzioni per distribuzioni con account singolo e tra account. EMR CloudFormation

Connect a un EMR cluster Amazon da SageMaker Studio o Studio ClassicPer informazioni dettagliate sui metodi di autenticazione che puoi utilizzare per connetterti a un EMR cluster Amazon, consulta.

Per consentire ai data scientist di scoprire i EMR CloudFormation modelli Amazon e il provisioning dei cluster da Studio o Studio Classic, segui questi passaggi.

Passaggio 0: verifica la rete e prepara lo stack CloudFormation

Prima di iniziare:

  • Assicurati di aver esaminato i requisiti di rete e sicurezza inConfigura l'accesso alla rete per il tuo EMR cluster Amazon.

  • È necessario disporre di uno end-to-end CloudFormation stack esistente che supporti il metodo di autenticazione desiderato. Puoi trovare esempi di tali CloudFormation modelli nel repository sagemaker-studio-emr GitHub aws-samples/. I passaggi seguenti evidenziano le configurazioni specifiche del tuo end-to-end stack per consentire l'uso dei EMR modelli Amazon all'interno di Studio o Studio Classic.

Fase 1: Associare il portafoglio Service Catalog a SageMaker

Nel tuo portafoglio Service Catalog, associa l'ID del tuo portafoglio al ruolo di SageMaker esecuzione che accede al cluster.

A tale scopo, aggiungi la sezione seguente (qui in YAML formato) al tuo stack. Ciò garantisce al ruolo di SageMaker esecuzione l'accesso al portafoglio Service Catalog specificato contenente prodotti come i EMR modelli Amazon. Consente ai ruoli assunti da SageMaker di lanciare tali prodotti.

Replace (Sostituisci) SageMakerExecutionRole.Arn e SageMakerStudioEMRProductPortfolio.ID con i loro valori effettivi.

SageMakerStudioEMRProductPortfolioPrincipalAssociation: Type: AWS::ServiceCatalog::PortfolioPrincipalAssociation Properties: PrincipalARN: SageMakerExecutionRole.Arn PortfolioId: SageMakerStudioEMRProductPortfolio.ID PrincipalType: IAM

Per i dettagli sul set di IAM autorizzazioni richiesto, consulta la sezione autorizzazioni.

Fase 2: fare riferimento a un EMR modello Amazon in un prodotto Service Catalog

In un prodotto Service Catalog del tuo portafoglio, fai riferimento a una risorsa EMR modello Amazon e assicurane la visibilità in Studio o Studio Classic.

A tale scopo, fai riferimento alla risorsa EMR modello Amazon nella definizione del prodotto Service Catalog, quindi aggiungi la seguente chiave "sagemaker:studio-visibility:emr" di tag al valore "true" (vedi l'esempio in YAML formato).

Nella definizione del prodotto Service Catalog, si fa riferimento al AWS CloudFormation modello del cluster tramiteURL. Il tag aggiuntivo impostato su true garantisce la visibilità dei EMR modelli Amazon in Studio o Studio Classic.

Nota

Il EMR modello Amazon a cui si fa riferimento URL nell'esempio non impone alcun requisito di autenticazione al momento del lancio. Questa opzione è pensata per scopi dimostrativi e di apprendimento. Non è consigliata in un ambiente di produzione.

SMStudioEMRNoAuthProduct: Type: AWS::ServiceCatalog::CloudFormationProduct Properties: Owner: AWS Name: SageMaker Studio Domain No Auth EMR ProvisioningArtifactParameters: - Name: SageMaker Studio Domain No Auth EMR Description: Provisions a SageMaker domain and No Auth EMR Cluster Info: LoadTemplateFromURL: Link to your CloudFormation template. For example, https://aws-blogs-artifacts-public.s3.amazonaws.com/artifacts/astra-m4-sagemaker/end-to-end/CFN-EMR-NoStudioNoAuthTemplate-v3.yaml Tags: - Key: "sagemaker:studio-visibility:emr" Value: "true"

Passaggio 3: parametrizza il modello Amazon EMR CloudFormation

Il CloudFormation modello utilizzato per definire il EMR cluster Amazon all'interno del prodotto Service Catalog consente agli amministratori di specificare parametri configurabili. Gli amministratori possono definire Default valori e AllowedValues intervalli per questi parametri all'interno della sezione del modello. Parameters Durante il processo di avvio del cluster, i data scientist possono fornire input personalizzati o effettuare selezioni tra quelle opzioni predefinite per personalizzare determinati aspetti del proprio cluster Amazon. EMR

L'esempio seguente illustra parametri di input aggiuntivi che gli amministratori possono impostare durante la creazione di un modello AmazonEMR.

"Parameters": { "EmrClusterName": { "Type": "String", "Description": "EMR cluster Name." }, "MasterInstanceType": { "Type": "String", "Description": "Instance type of the EMR master node.", "Default": "m5.xlarge", "AllowedValues": [ "m5.xlarge", "m5.2xlarge", "m5.4xlarge" ] }, "CoreInstanceType": { "Type": "String", "Description": "Instance type of the EMR core nodes.", "Default": "m5.xlarge", "AllowedValues": [ "m5.xlarge", "m5.2xlarge", "m5.4xlarge", "m3.medium", "m3.large", "m3.xlarge", "m3.2xlarge" ] }, "CoreInstanceCount": { "Type": "String", "Description": "Number of core instances in the EMR cluster.", "Default": "2", "AllowedValues": [ "2", "5", "10" ] }, "EmrReleaseVersion": { "Type": "String", "Description": "The release version of EMR to launch.", "Default": "emr-5.33.1", "AllowedValues": [ "emr-5.33.1", "emr-6.4.0" ] } }

Dopo che gli amministratori hanno reso disponibili i EMR CloudFormation modelli Amazon all'interno di Studio, i data scientist possono utilizzarli per il provisioning autonomo dei cluster AmazonEMR. La Parameters sezione definita nel modello si traduce in campi di input nel modulo di creazione del cluster all'interno di Studio o Studio Classic. Per ogni parametro, i data scientist possono inserire un valore personalizzato nella casella di input o selezionare una delle opzioni predefinite elencate in un menu a discesa, che corrisponde a quello AllowedValues specificato nel modello.

La seguente illustrazione mostra il modulo dinamico assemblato da un EMR modello CloudFormation Amazon per creare un EMR cluster Amazon in Studio o Studio Classic.

Illustrazione di un modulo dinamico assemblato da un EMR modello CloudFormation Amazon per creare un EMR cluster Amazon da Studio o Studio Classic.

Visita Avvia un EMR cluster Amazon da Studio o Studio Classic questa pagina per scoprire come avviare un cluster da Studio o Studio Classic utilizzando questi EMR modelli Amazon.

Passaggio 4: configura le autorizzazioni per abilitare la pubblicazione e l'avvio di EMR cluster Amazon da Studio

Infine, allega le IAM autorizzazioni richieste per consentire la pubblicazione di EMR cluster Amazon esistenti in esecuzione e il provisioning automatico di nuovi cluster da Studio o Studio Classic.

I ruoli a cui devi aggiungere tali autorizzazioni dipendono dal fatto che Studio o Studio Classic e Amazon EMR siano distribuiti nello stesso account (scegli Account singolo) o in account diversi (scegli Cross account).

Importante

Puoi scoprire e connetterti ai EMR cluster Amazon solo per applicazioni Studio Classic JupyterLab e lanciate da spazi privati. Assicurati che EMR i cluster Amazon si trovino nella stessa AWS regione del tuo ambiente Studio.

Se i tuoi EMR cluster Amazon e Studio o Studio Classic sono distribuiti nello stesso AWS account, assegna le seguenti autorizzazioni al ruolo di SageMaker esecuzione che accede al cluster.

  1. Passaggio 1: recupera il ruolo ARN di SageMaker esecuzione utilizzato dal tuo spazio privato.

    Per informazioni sugli spazi e sui ruoli di esecuzione in SageMaker, vedereComprendere lo spazio di dominio, le autorizzazioni e i ruoli di esecuzione..

    Per ulteriori informazioni su come recuperare il ruolo ARN di esecuzione SageMaker di of, vedereAssumi il tuo ruolo di esecuzione.

  2. Passaggio 2: assegna le seguenti autorizzazioni al ruolo di SageMaker esecuzione che accede ai tuoi EMR cluster Amazon.

    1. Passare alla console IAM.

    2. Scegli Ruoli, quindi cerca il tuo ruolo di esecuzione per nome nel campo Cerca. Il nome del ruolo è l'ultima parte diARN, dopo l'ultima barra (/).

    3. Segui il link al tuo ruolo.

    4. Scegli Aggiungi autorizzazioni e poi Crea politica in linea.

    5. JSONNella scheda, aggiungi le EMR autorizzazioni Amazon che consentono l'EMRaccesso e le operazioni di Amazon. Per i dettagli sul documento relativo alla policy, consulta Elencare EMR le politiche di Amazon inPolitiche di riferimento. Sostituisci e accountID con i relativi valori effettivi prima di copiare l'elenco delle dichiarazioni nella politica in linea del tuo ruolo. region

    6. Scegli Avanti e quindi fornisci un nome per la politica.

    7. Scegli Create Policy (Crea policy).

    8. Ripeti il passaggio Create inline policy per aggiungere un'altra policy che conceda al ruolo di esecuzione le autorizzazioni per effettuare il provisioning di nuovi EMR cluster Amazon utilizzando modelli. AWS CloudFormation Per i dettagli sul documento relativo alla policy, consulta Create Amazon EMRclusters policies inPolitiche di riferimento. Sostituisci region e accountID con i relativi valori effettivi prima di copiare l'elenco delle dichiarazioni nella politica in linea del tuo ruolo.

Nota

Gli utenti della connettività di controllo degli accessi basata sui ruoli (RBAC) ai EMR cluster Amazon devono fare riferimento anche a. Configura l'autenticazione del ruolo di runtime quando il EMR cluster Amazon e Studio si trovano nello stesso account

Prima di iniziare, recupera il ruolo ARN di SageMaker esecuzione utilizzato dal tuo spazio privato.

Per informazioni sugli spazi e sui ruoli di esecuzione in SageMaker, consultaComprendere lo spazio di dominio, le autorizzazioni e i ruoli di esecuzione..

Per ulteriori informazioni su come recuperare il ruolo ARN di esecuzione SageMaker di of, vedereAssumi il tuo ruolo di esecuzione.

Se i tuoi EMR cluster Amazon e Studio o Studio Classic sono distribuiti in AWS account separati, configuri le autorizzazioni su entrambi gli account.

Nota

Gli utenti della connettività di controllo degli accessi basata sui ruoli (RBAC) ai EMR cluster Amazon devono fare riferimento anche a. Configura l'autenticazione del ruolo di runtime quando il cluster e Studio si trovano in account diversi

Sull'account EMR del cluster Amazon

Segui questi passaggi per creare i ruoli e le politiche necessari sull'account in cui EMR viene distribuito Amazon, noto anche come account di fiducia:

  1. Passaggio 1: recupera il ruolo ARN di servizio del tuo EMR cluster Amazon.

    Per ulteriori informazioni su come individuare il ruolo ARN di servizio di un cluster, consulta Configurare i ruoli di IAM servizio per EMR le autorizzazioni Amazon su AWS servizi e risorse.

  2. Passaggio 2: crea un IAM ruolo personalizzato denominato AssumableRole con la seguente configurazione:

    • Autorizzazioni: concedi le autorizzazioni necessarie per consentire l'accesso AssumableRole alle risorse AmazonEMR. Questo ruolo è noto anche come ruolo di accesso in scenari che prevedono l'accesso tra più account.

    • Relazione di fiducia: configura la politica di fiducia AssumableRole per consentire l'assunzione del ruolo di esecuzione (indicato SageMakerExecutionRole nel diagramma tra account diversi) dall'account Studio che richiede l'accesso.

    Assumendo il ruolo, Studio o Studio Classic possono ottenere l'accesso temporaneo alle autorizzazioni necessarie in Amazon. EMR

    Per istruzioni dettagliate su come crearne uno nuovo AssumableRole nel tuo EMR AWS account Amazon, segui questi passaggi:

    1. Passare alla console IAM.

    2. Nel riquadro di navigazione a sinistra, scegli Policy, quindi Crea policy.

    3. JSONNella scheda, aggiungi le EMR autorizzazioni Amazon che consentono l'EMRaccesso e le operazioni di Amazon. Per i dettagli sul documento relativo alla policy, consulta Elencare EMR le politiche di Amazon inPolitiche di riferimento. Sostituisci e accountID con i relativi valori effettivi prima di copiare l'elenco delle dichiarazioni nella politica in linea del tuo ruolo. region

    4. Scegli Avanti e quindi fornisci un nome per la politica.

    5. Scegli Create Policy (Crea policy).

    6. Nel riquadro di navigazione a sinistra, scegli Ruoli, quindi Crea ruolo.

    7. Nella pagina Crea ruolo, scegli Criteri di fiducia personalizzati come entità attendibile.

    8. Incolla il seguente JSON documento nella sezione Politica di fiducia personalizzata, quindi scegli Avanti.

      For users of Studio and JupyterLab

      Sostituiscilo studio-account con l'ID dell'account Studio e AmazonSageMaker-ExecutionRole con il ruolo di esecuzione utilizzato dal tuo JupyterLab spazio.

      { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole" }, "Action": "sts:AssumeRole" } ] }
      For users of Studio Classic

      Sostituiscilo studio-account con l'ID dell'account Studio Classic.

      { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::studio-account:root" }, "Action": "sts:AssumeRole" } ] }
    9. Nella pagina Aggiungi autorizzazioni, aggiungi l'autorizzazione appena creata, quindi scegli Avanti.

    10. Nella pagina Revisione, inserisci un nome per il ruolo, ad AssumableRole esempio una descrizione opzionale.

    11. Verifica i dettagli del ruolo e scegli Create role (Crea ruolo).

    Per ulteriori informazioni sulla creazione di un ruolo su un AWS account, vedere Creazione di un IAM ruolo (console).

Sull'account Studio

Sull'account in cui è distribuito Studio, noto anche come account affidabile, aggiorna il ruolo di SageMaker esecuzione che accede ai cluster con le autorizzazioni necessarie per accedere alle risorse dell'account affidabile.

  1. Passaggio 1: recupera il ruolo ARN di SageMaker esecuzione utilizzato dal tuo spazio privato.

    Per informazioni sugli spazi e sui ruoli di esecuzione in SageMaker, vedereComprendere lo spazio di dominio, le autorizzazioni e i ruoli di esecuzione..

    Per ulteriori informazioni su come recuperare il ruolo ARN di esecuzione SageMaker di of, vedereAssumi il tuo ruolo di esecuzione.

  2. Passaggio 2: assegna le seguenti autorizzazioni al ruolo di SageMaker esecuzione che accede ai tuoi EMR cluster Amazon.

    1. Passare alla console IAM.

    2. Scegli Ruoli, quindi cerca il tuo ruolo di esecuzione per nome nel campo Cerca. Il nome del ruolo è l'ultima parte diARN, dopo l'ultima barra (/).

    3. Segui il link al tuo ruolo.

    4. Scegli Aggiungi autorizzazioni e poi Crea politica in linea.

    5. JSONNella scheda, aggiungi la politica in linea che concede al ruolo le autorizzazioni per aggiornare i domini, i profili utente e gli spazi. Per i dettagli sul documento di policy, consulta la policy relativa alle azioni di aggiornamento del dominio, del profilo utente e dello spazio in. Politiche di riferimento Sostituisci region and accountID con i relativi valori effettivi prima di copiare l'elenco delle istruzioni nella politica in linea del tuo ruolo.

    6. Scegli Avanti e quindi fornisci un nome per la politica.

    7. Scegli Create Policy (Crea policy).

    8. Ripeti il passaggio Crea politica in linea per aggiungere un'altra politica che conceda al ruolo di esecuzione le autorizzazioni necessarie per assumere AssumableRole e quindi eseguire le azioni consentite dalla politica di accesso del ruolo. Sostituisci emr-account con l'ID EMR dell'account Amazon e AssumableRole con il nome del ruolo ipotizzabile creato nell'EMRaccount Amazon.

      { "Version": "2012-10-17", "Statement": [ { "Sid": "AllowRoleAssumptionForCrossAccountDiscovery", "Effect": "Allow", "Action": "sts:AssumeRole", "Resource": ["arn:aws:iam::emr-account:role/AssumableRole" ] }] }
    9. Ripeti il passaggio Create inline policy per aggiungere un'altra policy che conceda al ruolo di esecuzione le autorizzazioni per effettuare il provisioning di nuovi EMR cluster Amazon utilizzando modelli. AWS CloudFormation Per i dettagli sul documento relativo alla policy, consulta Create Amazon EMRclusters policies inPolitiche di riferimento. Sostituisci region e accountID con i relativi valori effettivi prima di copiare l'elenco delle dichiarazioni nella politica in linea del tuo ruolo.

    10. (Facoltativo) Per consentire l'elenco EMR dei cluster Amazon distribuiti nello stesso account di Studio, aggiungi una politica in linea aggiuntiva al tuo ruolo di esecuzione di Studio, come definito in Elenca le politiche Amazon EMR in. Politiche di riferimento

  3. Fase 3: Associa i tuoi ruoli assumibili (ruolo di accesso) al tuo dominio o profilo utente. JupyterLab gli utenti di Studio possono utilizzare la SageMaker console o lo script fornito.

    Scegli la scheda corrispondente al tuo caso d'uso.

    Associate your assumable roles in JupyterLab using the SageMaker console

    Per associare i ruoli da assumere al profilo utente o al dominio utilizzando la SageMaker console:

    1. Accedi alla SageMaker console all'indirizzo https://console.aws.amazon.com/sagemaker/.

    2. Nel riquadro di navigazione a sinistra, scegli dominio, quindi seleziona il dominio utilizzando il ruolo di SageMaker esecuzione di cui hai aggiornato le autorizzazioni.

      • Per aggiungere uno o più ruoli da assumere (ruolo di accesso) al dominio: nella scheda Configurazioni app della pagina dei dettagli del dominio, vai alla sezione. JupyterLab

      • Per aggiungere i tuoi ruoli assumibili (ruolo di accesso) al tuo profilo utente: nella pagina dei dettagli del dominio, scegli la scheda Profili utente, seleziona il profilo utente utilizzando il ruolo di SageMaker esecuzione di cui hai aggiornato le autorizzazioni. Nella scheda Configurazioni dell'app, vai alla sezione. JupyterLab

    3. Scegli Modifica e aggiungi il tuo ruolo assumibile (ruolo ARNs di accesso).

    4. Scegli Invia.

    Associate your assumable roles in JupyterLab using a Python script

    In un' JupyterLab applicazione avviata da uno spazio utilizzando il ruolo di SageMaker esecuzione di cui sono state aggiornate le autorizzazioni, esegui il seguente comando in un terminale. SostituitedomainID, user-profile-nameemr-accountID, e AssumableRole (EMRServiceRoleper i ruoli RBAC di runtime) con i valori corretti. Questo frammento di codice aggiorna le impostazioni del profilo utente per uno specifico profilo utente (useclient.update_userprofile) o le impostazioni del dominio (useclient.update_domain) all'interno di un SageMaker dominio. In particolare, consente all' JupyterLab applicazione di assumere un IAM ruolo particolare (AssumableRole) per l'esecuzione di EMR cluster Amazon all'interno dell'EMRaccount Amazon.

    import botocore.session import json sess = botocore.session.get_session() client = sess.create_client('sagemaker') client.update_userprofile( DomainId="domainID", UserProfileName="user-profile-name", DefaultUserSettings={ 'JupyterLabAppSettings': { 'EmrSettings': { 'AssumableRoleArns': ["arn:aws:iam::emr-accountID:role/AssumableRole"], 'ExecutionRoleArns': ["arn:aws:iam::emr-accountID:role/EMRServiceRole", "arn:aws:iam::emr-accountID:role/AnotherServiceRole"] } } }) resp = client.describe_user_profile(DomainId="domainID", UserProfileName=user-profile-name") resp['CreationTime'] = str(resp['CreationTime']) resp['LastModifiedTime'] = str(resp['LastModifiedTime']) print(json.dumps(resp, indent=2))
    For users of Studio Classic

    Fornisci il ruolo ARN di esecuzione AssumableRole al tuo ruolo di esecuzione di Studio Classic. ARNViene caricato dal server Jupyter al momento del lancio. Il ruolo di esecuzione utilizzato da Studio presuppone il ruolo tra account diversi per rilevare e connettersi ai EMR cluster Amazon nell'account di fiducia.

    Puoi specificare queste informazioni utilizzando gli script di Lifecycle Configuration (). LCC Puoi collegarli LCC al tuo dominio o a un profilo utente specifico. Lo LCC script che usi deve essere una JupyterServer configurazione. Per ulteriori informazioni su come creare uno LCC script, consulta Utilizzare le configurazioni del ciclo di vita con Studio Classic.

    Di seguito è riportato uno script di esempio. LCC Per modificare lo script, sostituite AssumableRole e emr-account con i rispettivi valori. Il numero di account incrociati è limitato a cinque.

    # This script creates the file that informs Studio Classic that the role "arn:aws:iam::emr-account:role/AssumableRole" in remote account "emr-account" must be assumed to list and describe Amazon EMR clusters in the remote account. #!/bin/bash set -eux FILE_DIRECTORY="/home/sagemaker-user/.cross-account-configuration-DO_NOT_DELETE" FILE_NAME="emr-discovery-iam-role-arns-DO_NOT_DELETE.json" FILE="$FILE_DIRECTORY/$FILE_NAME" mkdir -p $FILE_DIRECTORY cat > "$FILE" <<- "EOF" { emr-cross-account1: "arn:aws:iam::emr-cross-account1:role/AssumableRole", emr-cross-account2: "arn:aws:iam::emr-cross-account2:role/AssumableRole" } EOF

    Dopo l'LCCesecuzione e la scrittura dei file, il server legge il file /home/sagemaker-user/.cross-account-configuration-DO_NOT_DELETE/emr-discovery-iam-role-arns-DO_NOT_DELETE.json e memorizza il cross-account. ARN