Service Catalog で Amazon EMR CloudFormation テンプレートを設定する

ステップ 1: プライベートスペースで使用される SageMaker AI 実行ロールの ARN を取得します。

SageMaker AI のスペースと実行ロールの詳細については、「」を参照してくださいドメインスペースのアクセス許可と実行ロールを理解する。

SageMaker AI の実行ロールの ARN を取得する方法の詳細については、「」を参照してください実行ロールを取得する。

ステップ 2: Amazon EMR クラスターにアクセスする SageMaker AI 実行ロールに次のアクセス許可をアタッチします。

1. [IAM console] (IAM コンソール) に入ります。

2. [ロール] をクリックしてから、[検索] フィールドで名前を使って実行ロールを検索します。ロール名は、ARN の最後のスラッシュ (/) の後にある最後の部分です。

3. ロールへのリンクをクリックします。

4. [アクセス許可の追加] をクリックしてから、[インラインポリシーの作成] をクリックします。

5. [JSON] タブで、Amazon EMR アクセスとオペレーションを許可する Amazon EMR アクセス許可を追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「Amazon EMR ポリシーを一覧表示する」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

6. [次へ] をクリックして、[ポリシー名] を指定します。

7. [Create policy] を選択します。

8. [インラインポリシーの作成] ステップを繰り返し、 AWS CloudFormation テンプレートを使用して新しい Amazon EMR クラスターをプロビジョンするアクセス許可を実行ロールに付与する別のポリシーを追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「Create Amazon EMRclusters policies」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

ステップ 1: Amazon EMR クラスターのサービスロールの ARN を取得します。

クラスターのサービスロールの ARN を検索する方法については、「AWS のサービスおよびリソースへのアクセス許可を Amazon EMR に付与する IAM サービスロールの設定」を参照してください。

ステップ 2: 以下の設定を使用して、AssumableRole という名前のカスタム IAM ロールを作成します。

このロールを引き受けることで、Studio または Studio Classic は Amazon EMR で必要なアクセス許可への一時的なアクセスを取得できます。

Amazon EMR AWS アカウントAssumableRoleで新しい を作成する方法の詳細については、次の手順に従います。

1. [IAM console] (IAM コンソール) に入ります。

2. 左側のナビゲーションペインで、[ポリシー]、[ポリシーの作成] の順に選択します。

3. [JSON] タブで、Amazon EMR アクセスとオペレーションを許可する Amazon EMR アクセス許可を追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「Amazon EMR ポリシーを一覧表示する」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

4. [次へ] をクリックして、[ポリシー名] を指定します。

5. [Create policy] を選択します。

6. 左側のナビゲーションペインで、[ロール]、[ロールを作成] の順に選択します。

7. [ロールを作成] ページで、信頼されたエンティティとして、[カスタム信頼ポリシー] を選択します。

8. [カスタム信頼ポリシー] セクションで、以下の JSON ドキュメントに貼り付け、[次へ] をクリックします。

   For users of Studio and JupyterLab

   studio-account は Studio アカウント ID に、AmazonSageMaker-ExecutionRole は JupyterLab スペースで使用される実行ロールに置き換えます。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   For users of Studio Classic

   studio-account は Studio Classic アカウント ID に置き換えます。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::studio-account:root"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

9. [アクセス許可を追加] ページで、先ほど作成したアクセス許可を追加し、[次へ] をクリックします。

10. [レビュー] ページで、AssumableRole など、ロール名と、必要に応じて説明を入力します。

11. ロールの詳細を確認し、[ロールの作成] を選択します。

AWS アカウントでのロールの作成の詳細については、「IAM ロールの作成 (コンソール)」を参照してください。

ステップ 1: プライベートスペースで使用される SageMaker AI 実行ロールの ARN を取得します。

SageMaker AI のスペースと実行ロールの詳細については、「」を参照してくださいドメインスペースのアクセス許可と実行ロールを理解する。

SageMaker AI の実行ロールの ARN を取得する方法の詳細については、「」を参照してください実行ロールを取得する。

ステップ 2: Amazon EMR クラスターにアクセスする SageMaker AI 実行ロールに次のアクセス許可をアタッチします。

1. [IAM console] (IAM コンソール) に入ります。

2. [ロール] をクリックしてから、[検索] フィールドで名前を使って実行ロールを検索します。ロール名は、ARN の最後のスラッシュ (/) の後にある最後の部分です。

3. ロールへのリンクをクリックします。

4. [アクセス許可の追加] をクリックしてから、[インラインポリシーの作成] をクリックします。

5. [JSON] タブで、ドメイン、ユーザープロファイル、スペースを更新するロールアクセス許可を付与するインラインポリシーを追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「ドメイン、ユーザープロファイル、およびスペース更新アクションポリシー」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

6. [次へ] をクリックして、[ポリシー名] を指定します。

7. [Create policy] を選択します。

8. [インラインポリシーの作成] ステップを繰り返して、実行ロールに AssumableRole を引き受け、ロールのアクセスポリシーで許可されるアクションを実行するためのアクセス許可を付与する別のポリシーを追加します。emr-account は Amazon EMR アカウント ID に、AssumableRole は Amazon EMR アカウントで作成された、引き受けられるロールの名前に置き換えます。

   {
     "Version": "2012-10-17",
     "Statement": [
     { 
               "Sid": "AllowRoleAssumptionForCrossAccountDiscovery", 
               "Effect": "Allow", 
               "Action": "sts:AssumeRole", 
               "Resource":  ["arn:aws:iam::emr-account:role/AssumableRole" ]
     }]
   }

9. [インラインポリシーの作成] ステップを繰り返し、 AWS CloudFormation テンプレートを使用して新しい Amazon EMR クラスターをプロビジョンするアクセス許可を実行ロールに付与する別のポリシーを追加します。ポリシードキュメントの詳細については、「リファレンスポリシー」の「Create Amazon EMRclusters policies」を参照してください。ステートメントのリストをロールのインラインポリシーにコピーする前に、region と accountID を実際の値に置き換えます。

10. (オプション) Studio と同じアカウントにデプロイされた Amazon EMR クラスターのリストの一覧表示を許可するには、「リファレンスポリシー」の「Amazon EMR ポリシーを一覧表示する」で定義されているとおり、Studio の実行ロールに追加のインラインポリシーを追加します。

ステップ 3: 引き受けられるロール (アクセスロール) をドメインまたはユーザープロファイルに関連付けます。Studio の JupyterLab ユーザーは、SageMaker AI コンソールまたは提供されたスクリプトを使用できます。

ユースケースに対応するタブをクリックします。