Service Catalog で Amazon EMR CloudFormation テンプレートを設定する

ステップ 1: プライベートスペースで使用される SageMaker 実行ロールARNの を取得します。

のスペースと実行ロールの詳細については SageMaker、「」を参照してくださいドメインスペースのアクセス許可と実行ロールについて。

の実行ロールARNの を取得する方法の詳細については、 SageMaker「」を参照してください実行ロールを取得する。

ステップ 2: Amazon EMRクラスターにアクセスする SageMaker 実行ロールに次のアクセス許可をアタッチします。

1. IAM コンソールに移動します。

2. ロールを選択し、検索フィールドで名前で実行ロールを検索します。ロール名はARN、最後のスラッシュ (/) の後にある の最後の部分です。

3. ロールへのリンクに従います。

4. アクセス許可を追加 を選択し、インラインポリシーを作成します。

5. JSON タブに、Amazon EMR アクセスとオペレーションを許可する Amazon アクセスEMR許可を追加します。ポリシードキュメントの詳細については、「」の「Amazon EMRポリシーを一覧表示する」を参照してくださいリファレンスポリシー。ステートメントのリストをロールのインラインポリシーにコピーする前にregion、 と をaccountID実際の値に置き換えます。

6. Next を選択し、ポリシー名 を指定します。

7. [Create policy] を選択します。

8. インラインポリシーの作成ステップを繰り返して、テンプレートを使用して AWS CloudFormation 新しい Amazon EMRクラスターをプロビジョニングするアクセス許可を実行ロールに付与する別のポリシーを追加します。ポリシードキュメントの詳細については、「」の「Amazon EMRclustersポリシーの作成」を参照してくださいリファレンスポリシー。ステートメントのリストをロールのインラインポリシーにコピーする前に、 regionと をaccountID実際の値に置き換えます。

ステップ 1: Amazon クラスター ARN のサービスロールの を取得します。 EMR

クラスターのサービスロールARNの を検索する方法については、IAM「サービス AWS およびリソースへの Amazon EMR アクセス許可のサービスロールの設定」を参照してください。

ステップ 2: 次の設定AssumableRoleで という名前のカスタムIAMロールを作成します。

ロールを引き受けることで、Studio または Studio Classic は Amazon で必要なアクセス許可に一時的にアクセスできますEMR。

Amazon EMR AWS アカウントAssumableRoleで新しい を作成する方法の詳細な手順については、次の手順に従います。

1. IAM コンソールに移動します。

2. 左側のナビゲーションペインで、ポリシー を選択し、ポリシー を作成します。

3. JSON タブに、Amazon EMR アクセスとオペレーションを許可する Amazon アクセスEMR許可を追加します。ポリシードキュメントの詳細については、「」の「Amazon EMRポリシーを一覧表示する」を参照してくださいリファレンスポリシー。ステートメントのリストをロールのインラインポリシーにコピーする前にregion、 と をaccountID実際の値に置き換えます。

4. Next を選択し、ポリシー名 を指定します。

5. [Create policy] を選択します。

6. 左側のナビゲーションペインで、ロール を選択し、ロール を作成します。

7. ロールの作成ページで、信頼されたエンティティとしてカスタム信頼ポリシーを選択します。

8. カスタム信頼ポリシーセクションの次のJSONドキュメントに貼り付け、次へ を選択します。

   For users of Studio and JupyterLab

   studio-account を Studio アカウント ID に置き換え、 をスペースで使用される実行ロールAmazonSageMaker-ExecutionRoleに置き換えます JupyterLab。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   For users of Studio Classic

   を Studio Classic アカウント ID studio-accountに置き換えます。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::studio-account:root"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

9. アクセス許可の追加ページで、先ほど作成したアクセス許可を追加し、次へ を選択します。

10. レビューページで、 などのロールの名前AssumableRoleとオプションの説明を入力します。

11. ロールの詳細を確認し、[ロールの作成] を選択します。

アカウントで AWS ロールを作成する方法の詳細については、IAM「ロールの作成 (コンソール）」を参照してください。

ステップ 1: プライベートスペースで使用される SageMaker 実行ロールARNの を取得します。

のスペースと実行ロールの詳細については SageMaker、「」を参照してくださいドメインスペースのアクセス許可と実行ロールについて。

の実行ロールARNの を取得する方法の詳細については、 SageMaker「」を参照してください実行ロールを取得する。

ステップ 2: Amazon EMRクラスターにアクセスする SageMaker 実行ロールに次のアクセス許可をアタッチします。

1. IAM コンソールに移動します。

2. ロールを選択し、検索フィールドで名前で実行ロールを検索します。ロール名はARN、最後のスラッシュ (/) の後にある の最後の部分です。

3. ロールへのリンクに従います。

4. アクセス許可を追加 を選択し、インラインポリシーを作成します。

5. JSON タブに、ドメイン、ユーザープロファイル、スペースを更新するアクセス許可をロールに付与するインラインポリシーを追加します。ポリシードキュメントの詳細については、「」の「ドメイン、ユーザープロファイル、およびスペース更新アクションポリシー」を参照してくださいリファレンスポリシー。ステートメントのリストをロールのインラインポリシーにコピーする前にaccountID、 regionと を実際の値に置き換えます。

6. Next を選択し、ポリシー名 を指定します。

7. [Create policy] を選択します。

8. インラインポリシーの作成ステップを繰り返して、実行ロールに を引き受けAssumableRole、ロールのアクセスポリシーで許可されているアクションを実行するアクセス許可を付与する別のポリシーを追加します。emr-account を Amazon EMRアカウント ID に置き換え、 を Amazon EMRアカウントで作成された想定ロールの名前AssumableRoleに置き換えます。

   {
     "Version": "2012-10-17",
     "Statement": [
     { 
               "Sid": "AllowRoleAssumptionForCrossAccountDiscovery", 
               "Effect": "Allow", 
               "Action": "sts:AssumeRole", 
               "Resource":  ["arn:aws:iam::emr-account:role/AssumableRole" ]
     }]
   }

9. インラインポリシーの作成ステップを繰り返して、 AWS CloudFormation テンプレートを使用して新しい Amazon EMRクラスターをプロビジョニングするアクセス許可を実行ロールに付与する別のポリシーを追加します。ポリシードキュメントの詳細については、「」の「Amazon EMRclustersポリシーの作成」を参照してくださいリファレンスポリシー。ステートメントのリストをロールのインラインポリシーにコピーする前に、 regionと をaccountID実際の値に置き換えます。

10. （オプション) Studio と同じアカウントにデプロイされた Amazon EMRクラスターのリストを許可するには、 の Amazon ポリシーのリストで定義されているように、Studio 実行ロールに追加のインラインEMRポリシーを追加しますリファレンスポリシー。

ステップ 3: 想定ロール (アクセスロール) をドメインまたはユーザー profile. JupyterLab users in Studio に関連付けると、 SageMakerコンソールまたは提供されたスクリプトを使用できます。

ユースケースに対応するタブを選択します。