SageMaker Studio からの Amazon EMR アプリケーションの一覧表示と起動を有効にするアクセス許可を設定する

ステップ 1: データソースに使用する Amazon S3 バケットの ARN を取得し、Amazon S3 コンソール でデータストレージを出力します。

名前でバケットを検索する方法については、「Amazon S3 バケットに対するアクセスと一覧表示」を参照してください。Amazon S3 バケットの作成については、「バケットの作成」を参照してください。

ステップ 2: アカウント内の EMR Serverless アプリケーションのジョブランタイム実行ロールを少なくとも 1 つ作成します (上記の単一のアカウントのユースケース図の EMRServerlessRuntimeExecutionRoleA)。信頼されたエンティティとして、[カスタム信頼ポリシー] を選択します。ジョブに必要なアクセス許可を追加します。少なくとも、Amazon S3 バケットへのフルアクセスと、 AWS Glue Data Catalog への作成および読み取りアクセスが必要です。

EMR Serverless アプリケーションの新しいランタイム実行ロールを作成する方法の詳細については、以下の手順を実行します。

1. [IAM console] (IAM コンソール) に入ります。

2. 左側のナビゲーションペインで、[ポリシー]、[ポリシーの作成] の順に選択します。

3. ランタイムロールに必要なアクセス許可を追加し、ポリシーに名前を付けて、[ポリシーの作成] をクリックします。

   「EMR Serverless のジョブランタイムロール」を参照して、EMR Serverless ランタイムロールのサンプルランタイムポリシーを検索できます。

4. 左側のナビゲーションペインで、[ロール]、[ロールを作成] の順に選択します。

5. [ロールを作成] ページで、信頼されたエンティティとして、[カスタム信頼ポリシー] を選択します。

6. [カスタム信頼ポリシー] セクションで、以下の JSON ドキュメントに貼り付け、[次へ] をクリックします。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. [アクセス許可を追加] ページで、作成したポリシーを追加してから、[次へ] をクリックします。

8. [レビュー] ページで、EMRServerlessAppRuntimeRoleA など、ロール名と、必要に応じて説明を入力します。

9. ロールの詳細を確認し、[ロールの作成] を選択します。

このようなロールを使用すると、ユーザー自身とチームメイトが、データへの個別のアクセスレベルに一致するアクセス許可が設定されたランタイムロールを使用して、同じアプリケーションに接続できます。

ステップ 3: プライベートスペースで使用される SageMaker AI 実行ロールの ARN を取得します。

SageMaker AI のスペースと実行ロールの詳細については、「」を参照してくださいドメインスペースのアクセス許可と実行ロールを理解する。

SageMaker AI の実行ロールの ARN を取得する方法の詳細については、「」を参照してください実行ロールを取得する。

ステップ 4: EMR Serverless アプリケーションにアクセスする SageMaker AI 実行ロールに次のアクセス許可をアタッチします。

1. IAM コンソール (https://console.aws.amazon.com/sagemaker/) を開きます。

2. [ロール] をクリックしてから、[検索] フィールドで名前を使って実行ロールを検索します。ロール名は、ARN の最後のスラッシュ (/) の後にある最後の部分です。

3. ロールへのリンクをクリックします。

4. [アクセス許可の追加] をクリックしてから、[インラインポリシーの作成] をクリックします。

5. [JSON] タブで、EMR Serverless アクセスとオペレーションを許可する Amazon EMR Serverless アクセス許可を追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「EMR Serverless ポリシー」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region、accountID、渡された EMRServerlessAppRuntimeRole を実際の値に置き換えます。

   注記

   ランタイムロールの ARN 文字列は、必要に応じてアクセス許可内にカンマで区切って含めることができます。

6. [次へ] をクリックして、[ポリシー名] を指定します。

7. [Create policy] を選択します。

8. [インラインポリシーの作成] ステップを繰り返して、ドメイン、ユーザープロファイル、スペースを更新するアクセス許可をロールに付与する別のインラインポリシーを追加します。SageMakerUpdateResourcesPolicy ポリシードキュメントの詳細については、「リファレンスポリシー」の「ドメイン、ユーザープロファイル、およびスペース更新アクションポリシー」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

ステップ 5:

ランタイムロールのリストをユーザープロファイルまたはドメインに関連付けると、ロールのリストを視覚的に参照し、JupyterLab から EMR Serverless アプリケーションに接続する際に使用するロールを選択できます。SageMaker AI コンソールまたは次のスクリプトを使用できます。その後、ノートブックから作成された Apache Spark または Apache Hive のすべてのジョブは、選択したランタイムロールにアタッチされたポリシーが許可するデータとリソースにのみアクセスするようになります。

ステップ 1: アカウント内の EMR Serverless アプリケーションのジョブランタイム実行ロールを少なくとも 1 つ作成します (上記のクロスアカウント図の EMRServerlessRuntimeExecutionRoleB)。信頼されたエンティティとして、[カスタム信頼ポリシー] を選択します。ジョブに必要なアクセス許可を追加します。少なくとも、Amazon S3 バケットへのフルアクセスと、 AWS Glue Data Catalog への作成および読み取りアクセスが必要です。

EMR Serverless アプリケーションの新しいランタイム実行ロールを作成する方法の詳細については、以下の手順を実行します。

1. [IAM console] (IAM コンソール) に入ります。

2. 左側のナビゲーションペインで、[ポリシー]、[ポリシーの作成] の順に選択します。

3. ランタイムロールに必要なアクセス許可を追加し、ポリシーに名前を付けて、[ポリシーの作成] をクリックします。

   EMR Serverless ランタイムロールのサンプルランタイムポリシーについては、「Amazon EMR Serverless のジョブランタイムロール」を参照してください。

4. 左側のナビゲーションペインで、[ロール]、[ロールを作成] の順に選択します。

5. [ロールを作成] ページで、信頼されたエンティティとして、[カスタム信頼ポリシー] を選択します。

6. [カスタム信頼ポリシー] セクションで、以下の JSON ドキュメントに貼り付け、[次へ] をクリックします。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. [アクセス許可を追加] ページで、作成したポリシーを追加してから、[次へ] をクリックします。

8. [レビュー] ページで、EMRServerlessAppRuntimeRoleB など、ロール名と、必要に応じて説明を入力します。

9. ロールの詳細を確認し、[ロールの作成] を選択します。

このようなロールを使用すると、ユーザー自身とチームメイトが、データへの個別のアクセスレベルに一致するアクセス許可が設定されたランタイムロールを使用して、同じアプリケーションに接続できます。

ステップ 2: 以下の設定を使用して、AssumableRole という名前のカスタム IAM ロールを作成します。

このロールを引き受けることで、Studio は EMR Serverless アカウントで必要なアクセス許可への一時的なアクセスを取得できます。

EMR Serverless AWS アカウントAssumableRoleで新しい を作成する方法の詳細については、次の手順に従います。

1. [IAM console] (IAM コンソール) に入ります。

2. 左側のナビゲーションペインで、[ポリシー]、[ポリシーの作成] の順に選択します。

3. [JSON] タブで、EMR Serverless アクセスとオペレーションを許可する Amazon EMR Serverless アクセス許可を追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「EMR Serverless ポリシー」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region、accountID、渡された EMRServerlessAppRuntimeRole を実際の値に置き換えます。

   注記

   ここでの EMRServerlessAppRuntimeRole は、ステップ 1 で作成したジョブランタイム実行ロールです (上記のクロスアカウント図の EMRServerlessAppRuntimeRoleB)。ランタイムロールの ARN 文字列は、必要に応じてアクセス許可内にカンマで区切って含めることができます。

4. [次へ] をクリックして、[ポリシー名] を指定します。

5. [Create policy] を選択します。

6. 左側のナビゲーションペインで、[ロール]、[ロールを作成] の順に選択します。

7. [ロールを作成] ページで、信頼されたエンティティとして、[カスタム信頼ポリシー] を選択します。

8. [カスタム信頼ポリシー] セクションで、以下の JSON ドキュメントに貼り付け、[次へ] をクリックします。

   studio-account は Studio アカウント ID に、AmazonSageMaker-ExecutionRole は JupyterLab スペースで使用される実行ロールに置き換えます。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. [アクセス許可を追加] ページで、ステップ 2 で作成した EMRServerlessAppRuntimeRoleB アクセス許可を追加してから、[次へ] をクリックします。

10. [レビュー] ページで、AssumableRole など、ロール名と、必要に応じて説明を入力します。

11. ロールの詳細を確認し、[ロールの作成] を選択します。

AWS アカウントでのロールの作成の詳細については、「IAM ロールの作成 (コンソール）」を参照してください。

ステップ 1: スペースで使用される SageMaker AI 実行ロールの ARN を取得します。

SageMaker AI のスペースと実行ロールの詳細については、「」を参照してくださいドメインスペースのアクセス許可と実行ロールを理解する。

SageMaker AI の実行ロールの ARN を取得する方法の詳細については、「」を参照してください実行ロールを取得する。

ステップ 2: EMR Serverless アプリケーションにアクセスする SageMaker AI 実行ロールに次のアクセス許可をアタッチします。

1. IAM コンソール (https://console.aws.amazon.com/iam/) を開きます。

2. [ロール] をクリックしてから、[検索] フィールドで名前を使って実行ロールを検索します。ロール名は、ARN の最後のスラッシュ (/) の後にある最後の部分です。

3. ロールへのリンクをクリックします。

4. [アクセス許可の追加] をクリックしてから、[インラインポリシーの作成] をクリックします。

5. [JSON] タブで、ドメイン、ユーザープロファイル、スペースを更新するロールアクセス許可を付与するインラインポリシーを追加します。SageMakerUpdateResourcesPolicy ポリシードキュメントの詳細については、「リファレンスポリシー」の「ドメイン、ユーザープロファイル、およびスペース更新アクションポリシー」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

6. [次へ] をクリックして、[ポリシー名] を指定します。

7. [Create policy] を選択します。

8. [インラインポリシーの作成] ステップを繰り返して、実行ロールに AssumableRole を引き受け、ロールのアクセスポリシーで許可されるアクションを実行するためのアクセス許可を付与する別のポリシーを追加します。

   emr-account は Amazon EMR Serverless アカウント ID に、AssumableRole は Amazon EMR Serverless アカウントで作成された、引き受けられるロールの名前に置き換えます。

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

ステップ 3:

ランタイムロールのリストをドメインまたはユーザープロファイルに関連付けると、ロールのリストを視覚的に参照し、JupyterLab から EMR Serverless アプリケーションに接続する際に使用するロールを選択できます。SageMaker AI コンソールまたは次のスクリプトを使用できます。その後、ノートブックから作成された Apache Spark または Apache Hive のすべてのジョブは、選択したランタイムロールにアタッチされたポリシーが許可するデータとリソースにのみアクセスするようになります。