翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
ネットワークを設定する
このセクションでは、管理者が Studio または Studio Classic と Amazon EMRクラスター間の通信を許可するようにネットワークを設定する方法について説明します。
ネットワーク手順は、Studio と Amazon EMRがプライベート Amazon Virtual Private Cloud (VPC) 内にデプロイされているか、インターネット経由で通信しているかによって異なります。
デフォルトでは、Studio または Studio Classic は、インターネットアクセス VPC で AWS 管理される で実行されます。 https://docs.aws.amazon.com/sagemaker/latest/dg/studio-notebooks-and-internet-access.html#studio-notebooks-and-internet-access-defaultインターネット接続を使用する場合、Studio と Studio Classic はインターネット経由で Amazon S3 バケットなどの AWS リソースにアクセスします。ただし、データやジョブコンテナへのアクセスを制御するセキュリティ要件がある場合は、データやコンテナにインターネット経由でアクセスできないEMRように Studio または Studio Classic と Amazon を設定することをお勧めします。リソースへのアクセスを制御したり、パブリックインターネットアクセスなしで Studio または Studio Classic を実行したりするには、Amazon SageMaker ドメイン にオンボードするときにVPC only
ネットワークアクセスタイプを指定できます。このシナリオでは、Studio と Studio Classic の両方が、プライベートVPCエンドポイント を介して他の AWS サービスとの接続を確立します。Studio または Studio Classic を VPC only
モードで設定する方法については、「 の SageMaker Studio または Studio Classic ノートブックを外部リソースVPCに接続する」を参照してください。
最初の 2 つのセクションでは、Studio または Studio Classic と、パブリックインターネットアクセスVPCsのない の Amazon EMRクラスター間の通信を確保する方法について説明します。最後のセクションでは、インターネット接続EMRを使用して Studio または Studio Classic と Amazon 間の通信を確保する方法について説明します。インターネットにアクセスEMRせずに Studio または Studio Classic と Amazon を接続する前に、Amazon Simple Storage Service (データストレージ)、Amazon CloudWatch (ログ記録とモニタリング)、および Amazon SageMaker Runtime (きめ細かなロールベースのアクセスコントロール (RBAC)) のエンドポイントを確立してください。
Studio または Studio Classic と Amazon EMRクラスターを接続するには:
-
Studio または Studio Classic と Amazon EMRが同じ AWS アカウントまたは異なるアカウントにある場合は、VPCs「」を参照してください Studio と Amazon EMR は別個に VPCs。
-
Studio または Studio Classic と Amazon が同じ にある場合はVPC、EMR「」を参照してくださいStudio と Amazon EMR が同じ にある VPC。
-
Studio または Studio Classic と Amazon をパブリックインターネット経由で接続することを選択した場合は、EMR「」を参照してくださいStudio と Amazon がパブリックインターネット経由でEMR通信する。
Studio と Amazon EMR は別個に VPCs
Studio または Studio Classic と Amazon が別々の にデプロイされたEMRときに通信できるようにするにはVPCs:
-
まず、VPCピアリング接続VPCsを介して を接続します。
-
各 のルーティングテーブルを更新VPCして、Studio または Studio Classic サブネットと Amazon EMRサブネット間のネットワークトラフィックを双方向にルーティングします。
-
インバウンドおよびアウトバウンドのトラフィックを許可するようにセキュリティグループを設定します。
Studio または Studio Classic と Amazon を接続する手順は、リソースが 1 つの AWS アカウント (単一アカウントのユースケース) にデプロイされているか、複数の AWS アカウント (クロスアカウントユースケース) にデプロイされているかにかかわらず同じEMRです。
-
VPC ピアリング
VPC ピアリング接続を作成して、2 つの VPCs (Studio または Studio Classic と Amazon ) 間のネットワークを容易にしますEMR。
-
Studio または Studio Classic アカウントから、VPCダッシュボードでピアリング接続 を選択し、ピアリング接続 を作成します。
-
Studio または Studio Classic を Amazon EMR VPCとピアリングするリクエストを作成しますVPC。別の AWS アカウントでピアリングをリクエストするときは、「別のアカウントを選択」で別のアカウントを選択して、 とピアリングします。 VPC
クロスアカウントピアリングの場合、管理者は Amazon EMRアカウントからのリクエストを受け入れる必要があります。
プライベートサブネットをピアリングする場合は、VPCピアリング接続レベルでプライベート IP DNS解決を有効にする必要があります。
-
-
ルーティングテーブル
Studio または Studio Classic サブネットと Amazon EMRサブネット間のネットワークトラフィックは、どちらの方法でも送信します。
ピアリング接続を確立すると、管理者 (クロスアカウントアクセスの各アカウント) はプライベートサブネットルートテーブルにルートを追加して、Studio または Studio Classic とクラスターサブネット間のトラフィックをルーティングできます。これらのルートを定義するには、VPCVPCダッシュボードの各 のルートテーブルセクションに移動します。
Studio VPCサブネットのルートテーブルの次の図は、Studio アカウントからピアリング接続を介した Amazon EMR VPC IP 範囲 (ここでは
2.0.1.0/24
) へのアウトバウンドルートの例を示しています。次の Amazon EMRVPCサブネットのルートテーブルの図は、ピアリング接続を介した Amazon から Studio VPC IP 範囲 (ここでは
10.0.20.0/24
) EMRVPCへのリターンルートの例を示しています。 -
セキュリティグループ
最後に、Studio または Studio Classic ドメインのセキュリティグループはアウトバウンドトラフィックを許可し、Amazon EMRプライマリノードのセキュリティグループは、Studio または Studio Classic インスタンスのセキュリティグループからの Apache Livy、Hive、または Presto TCP ポート (それぞれ
8998
、10000
、および8889
) でのインバウンドトラフィックを許可する必要があります。Apache Livyは、RESTインターフェイスEMRを介した Amazon とのやり取りを可能にするサービスです。
次の図は、 または Studio Classic ノートブックが Service Catalog の AWS CloudFormation テンプレートから Amazon EMRクラスターをプロビジョニングし、同じ AWS アカウント内の Amazon EMRクラスターに接続できるようにする JupyterLab Amazon VPCセットアップの例を示しています。この図は、 にインターネットアクセスがない場合に Amazon S3 や Amazon などのさまざまな AWS サービスに直接接続するために必要なエンドポイントをさらに説明 CloudWatchVPCsしています。または、NAT複数の のプライベートサブネット内のインスタンスが、インターネットにアクセスするときにインターネットゲートウェイによって提供される単一のパブリック IP アドレスを共有できるようにするVPCsには、ゲートウェイを使用する必要があります。 https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html
![Amazon VPCセットアップアーキテクチャの例。](images/studio/emr/studio-notebooks-emr-architecture-singleaccount-vpcendpoints.png)
Studio と Amazon EMR が同じ にある VPC
Studio または Studio Classic と Amazon EMRクラスターが異なるサブネットにある場合は、各プライベートサブネットルートテーブルにルートを追加して、Studio または Studio Classic とクラスターサブネット間のトラフィックをルーティングします。これらのルートを定義するには、VPCVPCダッシュボードの各 のルートテーブルセクションに移動します。Studio または Studio Classic と Amazon EMRクラスターを同じサブネットVPCと同じサブネットにデプロイした場合、Studio または Studio Classic とクラスターの間でトラフィックをルーティングする必要はありません。
ルーティングテーブルを更新する必要があるかどうかにかかわらず、Studio または Studio Classic ドメインのセキュリティグループはアウトバウンドトラフィックを許可し、Amazon EMRプライマリノードのセキュリティグループは Studio または Studio Classic インスタンスセキュリティグループからの Apache Livy、Hive、Presto TCP ポート (それぞれ 8998
、10000
、および 8889
) でのインバウンドトラフィックを許可する必要があります。Apache Livy
Studio と Amazon がパブリックインターネット経由でEMR通信する
デフォルトでは、Studio と Studio Classic は、 SageMaker ドメインVPCに関連付けられた のインターネットゲートウェイを介したインターネットとの通信を可能にするネットワークインターフェイスを提供します。パブリックインターネットEMR経由で Amazon に接続する場合、Amazon EMRクラスターは、インターネットゲートウェイからの Apache Livy、Hive、Presto TCP ポート (それぞれ 8998
、10000
、8889
) でのインバウンドトラフィックを受け入れる必要があります。Apache Livy
インバウンドトラフィックを許可するポートでは、セキュリティ脆弱性が生じる可能性があることに注意してください。カスタムセキュリティグループを注意深く確認して、脆弱性を最小限に抑えます。詳細については、「セキュリティグループを使用してネットワークトラフィックを制御する」を参照してください。
または、Amazon で Kerberos EMRを有効にし、プライベートサブネットにクラスターを設定し、Network Load Balancer (NLB) を使用してクラスターにアクセスして、セキュリティグループを介してアクセスコントロールされる特定のポートのみを公開する方法の詳細なチュートリアルブログとホワイトペーパーについては、「」を参照してください。
注記
パブリックインターネット経由で Apache Livy エンドポイントに接続する場合は、 を使用して Studio または Studio Classic と Amazon EMRクラスター間の通信を保護することをお勧めしますTLS。
Apache Livy HTTPSでの設定については、「Apache Livy HTTPSで有効にする」を参照してください。トランジット暗号化を有効にして Amazon EMRクラスターを設定する方法については、「Amazon 暗号化 を使用して転送中のデータをEMR暗号化するための証明書を提供する」を参照してください。さらに、 で指定された証明書キーにアクセスするように Studio または Studio Classic を設定する必要があります経由で Amazon EMRクラスターに接続する HTTPS。