翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon EMRクラスターのネットワークアクセスを設定する

Studio でデータ準備タスクに Amazon EMRまたは EMR Serverless の使用を開始する前に、Studio と Amazon 間の通信を許可するようにユーザーまたは管理者がネットワークを設定していることを確認してくださいEMR。この通信が有効になったら、以下を選択できます。

ネットワーク手順は、Studio と Amazon EMR がプライベート Amazon Virtual Private Cloud (VPC) 内にデプロイされているか、インターネット経由で通信しているかによって異なります。

デフォルトでは、Studio または Studio Classic は、インターネットアクセス VPC で AWS 管理される で実行されます。インターネット接続を使用する場合、Studio および Studio Classic はAmazon S3バケットなどの AWS リソースにインターネット経由でアクセスします。ただし、データコンテナとジョブコンテナへのアクセスを制御するセキュリティ要件がある場合は、データコンテナとコンテナがインターネット経由でアクセスできないEMRように Studio または Studio Classic と Amazon を設定することをお勧めします。パブリックインターネットアクセスなしで リソースへのアクセスを制御したり、Studio または Studio Classic を実行したりするには、Amazon SageMaker ドメイン にオンボードするときにVPC onlyネットワークアクセスタイプを指定できます。このシナリオでは、Studio と Studio Classic の両方が、プライベートVPCエンドポイント を介して他の AWS サービスとの接続を確立します。Studio または Studio Classic を VPC only モードで設定する方法については、「 の SageMaker Studio または Studio Classic ノートブックを外部リソースVPCに接続する」を参照してください。

最初の 2 つのセクションでは、パブリックインターネットアクセスVPCsなしで Studio または Studio Classic と Amazon EMR 間の通信を確保する方法について説明します。最後のセクションでは、インターネット接続EMRを使用して Studio または Studio Classic と Amazon 間の通信を確保する方法について説明します。インターネットアクセスEMRなしで Studio または Studio Classic と Amazon を接続する前に、Amazon Simple Storage Service (データストレージ）、Amazon CloudWatch (ログ記録とモニタリング）、および Amazon SageMaker Runtime (きめ細かなロールベースのアクセス制御 (RBAC)) のエンドポイントを必ず確立してください。

Studio または Studio Classic と Amazon を接続するにはEMR：

Studio と Amazon EMRは別個に VPCs

Studio または Studio Classic と Amazon 間の通信を別の にデプロイEMRするときに許可するにはVPCs：

Studio または Studio Classic と Amazon を接続する手順は、リソースが 1 つの AWS アカウント (単一アカウントのユースケース) にデプロイされているか、複数の AWS アカウント (クロスアカウントのユースケース) にデプロイされているかにかかわらず同じEMRです。

次の図は、 または Studio Classic ノートブックが Service Catalog の AWS CloudFormation テンプレートから Amazon EMRクラスターをプロビジョニングし、同じ AWS アカウント内の Amazon EMRクラスターに接続できるようにする JupyterLab Amazon VPCセットアップの例を示しています。この図は、 CloudWatchにインターネットアクセスVPCsがない場合に Amazon S3 や Amazon などのさまざまな AWS サービスに直接接続するために必要なエンドポイントの追加図を示しています。または、複数のプライベートサブネット内のインスタンスがインターネットにアクセスするときにインターネットNATゲートウェイによって提供される単一のパブリック IP アドレスVPCsを共有できるようにするには、ゲートウェイを使用する必要があります。 https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html

Studio と Amazon EMR は同じ VPC

Studio または Studio Classic と Amazon EMRが異なるサブネットにある場合は、各プライベートサブネットルートテーブルにルートを追加して、Studio または Studio Classic と Amazon EMR サブネット間のトラフィックをルーティングします。これらのルートは、VPCVPCダッシュボードの各 のルートテーブルセクションに移動して定義できます。Studio または Studio Classic と Amazon を同じサブネットVPCと同じサブネットEMRにデプロイした場合、Studio と Amazon の間でトラフィックをルーティングする必要はありませんEMR。

ルーティングテーブルを更新する必要があるかどうかにかかわらず、Studio または Studio Classic ドメインのセキュリティグループはアウトバウンドトラフィックを許可し、Amazon EMRプライマリノードのセキュリティグループは Studio または Studio Classic インスタンスセキュリティグループからの Apache Livy 、Hive 、または Presto TCP ポート (それぞれ 899810000、、および 8889) のインバウンドトラフィックを許可する必要があります。Apache Livy は、RESTインターフェイスEMRを介して Amazon とのインタラクションを可能にするサービスです。

Studio と Amazon がパブリックインターネット経由でEMR通信する

デフォルトでは、Studio と Studio Classic は、 SageMaker ドメインVPCに関連付けられた のインターネットゲートウェイを介したインターネットとの通信を許可するネットワークインターフェイスを提供します。パブリックインターネットEMR経由で Amazon に接続する場合、Amazon はインターネットゲートウェイから Apache Livy 、Hive 、または Presto TCP ポート (それぞれ 8998、10000、および 8889) のインバウンドトラフィックを受け入れるEMR必要があります。Apache Livy は、RESTインターフェイスEMRを介して Amazon とのインタラクションを可能にするサービスです。

インバウンドトラフィックを許可するポートでは、セキュリティ脆弱性が生じる可能性があることに注意してください。カスタムセキュリティグループを注意深く確認して、脆弱性を最小限に抑えます。詳細については、「セキュリティグループを使用してネットワークトラフィックを制御する」を参照してください。

または、Amazon で Kerberos EMRを有効にし、プライベートサブネットにクラスターを設定し、Network Load Balancer (NLB） を使用してクラスターにアクセスして、セキュリティグループを介してアクセスコントロールされる特定のポートのみを公開する方法の詳細なチュートリアルブログとホワイトペーパーについては、「」を参照してください。