SageMaker Studio에서 Amazon EMR 애플리케이션을 나열하고 시작할 수 있는 권한을 설정합니다.

1단계: Amazon S3 콘솔 에서 데이터 소스 및 출력 데이터 스토리지에 사용하는 Amazon S3 버킷ARN의 를 검색합니다.

이름으로 버킷을 찾는 방법에 대한 자세한 내용은 Amazon S3 버킷 액세스 및 나열을 참조하세요. Amazon S3 버킷을 생성하는 방법에 대한 자세한 내용은 버킷 생성을 참조하세요.

2단계: 계정에서 EMR Serverless 애플리케이션에 대한 작업 런타임 실행 역할을 하나 이상 생성합니다(위의 단일 계정 사용 사례 다이어그램EMRServerlessRuntimeExecutionRoleA에서 ). 사용자 지정 신뢰 정책을 신뢰할 수 있는 엔터티로 선택합니다. 작업에 필요한 권한을 추가합니다. 최소한 Amazon S3 버킷에 대한 전체 액세스 권한과 AWS Glue Data Catalog에 대한 생성 및 읽기 액세스 권한이 필요합니다.

EMR Serverless 애플리케이션에 대한 새 런타임 실행 역할을 생성하는 방법에 대한 자세한 지침은 다음 단계를 따르세요.

1. IAM 콘솔로 이동합니다.

2. 왼쪽 탐색 창에서 정책 을 선택한 다음 정책 생성 을 선택합니다.

3. 런타임 역할에 필요한 권한을 추가하고 정책의 이름을 지정한 다음 정책 생성을 선택합니다.

   EMR Serverless의 작업 런타임 역할을 참조하여 EMR Serverless 런타임 역할에 대한 샘플 런타임 정책을 찾을 수 있습니다.

4. 왼쪽 탐색 창에서 역할을 선택한 다음 역할 생성 을 선택합니다.

5. 역할 생성 페이지에서 사용자 지정 신뢰 정책을 신뢰할 수 있는 엔터티로 선택합니다.

6. 사용자 지정 신뢰 정책 섹션에서 다음 JSON 문서를 붙여넣은 다음 다음을 선택합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 권한 추가 페이지에서 생성한 정책을 추가한 다음 다음을 선택합니다.

8. 검토 페이지에서 EMRServerlessAppRuntimeRoleA 와 같은 역할의 이름과 선택적 설명을 입력합니다.

9. 역할 세부 정보를 검토하고 [Create role]을 선택합니다.

이러한 역할을 사용하면 사용자와 팀원은 각각 데이터에 대한 개별 액세스 수준과 일치하는 권한을 가진 런타임 역할을 사용하여 동일한 애플리케이션에 연결할 수 있습니다.

3단계: 프라이빗 스페이스에서 SageMaker 사용하는 실행 역할ARN의 를 검색합니다.

의 공백 및 실행 역할에 대한 자세한 내용은 섹션을 SageMaker참조하세요도메인 공간 권한 및 실행 역할 이해.

SageMaker의 실행 역할 ARN 중 를 검색하는 방법에 대한 자세한 내용은 섹션을 참조하세요실행 역할 가져오기.

4단계: EMR Serverless 애플리케이션에 액세스하는 SageMaker 실행 역할에 다음 권한을 연결합니다.

1. IAM에서 https://console.aws.amazon.com/sagemaker/ 콘솔을 엽니다.

2. 역할을 선택한 다음 검색 필드에서 이름으로 실행 역할을 검색합니다. 역할 이름은 마지막 슬래시(/) 뒤에 있는 ARN의 마지막 부분입니다.

3. 역할에 대한 링크를 따릅니다.

4. 권한 추가를 선택한 다음 인라인 정책 생성을 선택합니다.

5. JSON 탭에서 EMR Serverless 액세스 및 작업을 허용하는 Amazon EMR Serverless 권한을 추가합니다. 정책 문서에 대한 자세한 내용은 의 EMR 서버리스 정책을 참조하세요참조 정책. 교체 region, accountID, 및 전달 EMRServerlessAppRuntimeRole(s)를 실제 값과 함께 복사한 후 명령문 목록을 역할의 인라인 정책에 복사합니다.

   참고

   권한 내에 필요한 만큼 많은 런타임 역할 ARN 문자열을 포함시켜 쉼표로 구분할 수 있습니다.

6. 다음을 선택한 다음 정책 이름 을 입력합니다.

7. 정책 생성을 선택합니다.

8. 인라인 정책 생성 단계를 반복하여 도메인, 사용자 프로필 및 공백을 업데이트할 수 있는 역할 권한을 부여하는 다른 인라인 정책을 추가합니다. SageMakerUpdateResourcesPolicy 정책 문서에 대한 자세한 내용은 의 도메인, 사용자 프로필 및 공간 업데이트 작업 정책을 참조하세요참조 정책. 교체 region 그리고 accountID 명령문 목록을 역할의 인라인 정책에 복사하기 전에 실제 값을 사용합니다.

5단계:

런타임 역할 목록을 사용자 프로필 또는 도메인과 연결하면 역할 목록을 시각적으로 검색하고 에서 EMR Serverless 애플리케이션에 연결할 때 사용할 역할을 선택할 수 있습니다 JupyterLab. SageMaker 콘솔 또는 다음 스크립트를 사용할 수 있습니다. 그런 다음 노트북에서 생성된 모든 Apache Spark 또는 Apache Hive 작업은 선택한 런타임 역할에 연결된 정책에서 허용하는 데이터 및 리소스에만 액세스합니다.

1단계: 계정에서 EMR Serverless 애플리케이션에 대한 작업 런타임 실행 역할을 하나 이상 생성합니다(위의 교차 계정 다이어그램EMRServerlessRuntimeExecutionRoleB의 ). 사용자 지정 신뢰 정책을 신뢰할 수 있는 엔터티로 선택합니다. 작업에 필요한 권한을 추가합니다. 최소한 Amazon S3 버킷에 대한 전체 액세스 권한과 AWS Glue 데이터 카탈로그에 대한 생성 및 읽기 액세스 권한이 필요합니다.

EMR Serverless 애플리케이션에 대한 새 런타임 실행 역할을 생성하는 방법에 대한 자세한 지침은 다음 단계를 따르세요.

1. IAM 콘솔로 이동합니다.

2. 왼쪽 탐색 창에서 정책 을 선택한 다음 정책 생성 을 선택합니다.

3. 런타임 역할에 필요한 권한을 추가하고 정책의 이름을 지정한 다음 정책 생성을 선택합니다.

   EMR 서버리스 런타임 역할의 샘플 런타임 정책은 Amazon EMR Serverless의 작업 런타임 역할을 참조하세요.

4. 왼쪽 탐색 창에서 역할을 선택한 다음 역할 생성 을 선택합니다.

5. 역할 생성 페이지에서 사용자 지정 신뢰 정책을 신뢰할 수 있는 엔터티로 선택합니다.

6. 사용자 지정 신뢰 정책 섹션에서 다음 JSON 문서를 붙여넣은 다음 다음을 선택합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 권한 추가 페이지에서 생성한 정책을 추가한 다음 다음을 선택합니다.

8. 검토 페이지에서 와 같은 역할의 이름과 EMRServerlessAppRuntimeRoleB 선택적 설명을 입력합니다.

9. 역할 세부 정보를 검토하고 [Create role]을 선택합니다.

이러한 역할을 사용하면 사용자와 팀원은 각각 데이터에 대한 개별 액세스 수준과 일치하는 권한으로 범위가 지정된 런타임 역할을 사용하여 동일한 애플리케이션에 연결할 수 있습니다.

2단계: 다음 구성으로 AssumableRole 라는 사용자 지정 IAM 역할을 생성합니다.

Studio는 역할을 수임하여 EMR Serverless 계정에서 필요한 권한에 임시로 액세스할 수 있습니다.

EMR Serverless AWS 계정AssumableRole에서 새 를 생성하는 방법에 대한 자세한 지침은 다음 단계를 따르세요.

1. IAM 콘솔로 이동합니다.

2. 왼쪽 탐색 창에서 정책 을 선택한 다음 정책 생성 을 선택합니다.

3. JSON 탭에서 EMR Serverless 액세스 및 작업을 허용하는 Amazon EMR Serverless 권한을 추가합니다. 정책 문서에 대한 자세한 내용은 의 EMR 서버리스 정책을 참조하세요참조 정책. 명령문 목록을 역할의 인라인 정책에 복사하기 전에 regionaccountID, 및 전달된 EMRServerlessAppRuntimeRole(s)를 실제 값으로 바꿉니다.

   참고

   EMRServerlessAppRuntimeRole 다음은 1단계(위의 교차 계정 다이어그램의 )EMRServerlessAppRuntimeRoleB에서 생성된 작업 런타임 실행 역할입니다. 권한 내에 필요한 만큼 문자열ARN의 런타임 역할을 포함시켜 쉼표로 구분할 수 있습니다.

4. 다음을 선택한 다음 정책 이름 을 입력합니다.

5. 정책 생성을 선택합니다.

6. 왼쪽 탐색 창에서 역할을 선택한 다음 역할 생성 을 선택합니다.

7. 역할 생성 페이지에서 사용자 지정 신뢰 정책을 신뢰할 수 있는 엔터티로 선택합니다.

8. 사용자 지정 신뢰 정책 섹션의 다음 JSON 문서에 붙여넣은 다음 다음을 선택합니다.

   를 Studio 계정 IDstudio-account로 바꾸고 를 JupyterLab 공간에서 사용하는 실행 역할AmazonSageMaker-ExecutionRole로 바꿉니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. 권한 추가 페이지에서 2단계에서 EMRServerlessAppRuntimeRoleB 생성한 권한을 추가한 다음 다음을 선택합니다.

10. 검토 페이지에서 AssumableRole 와 같은 역할의 이름과 선택적 설명을 입력합니다.

11. 역할 세부 정보를 검토하고 [Create role]을 선택합니다.

AWS 계정에서 역할을 생성하는 방법에 대한 자세한 내용은 IAM 역할 생성(콘솔)을 참조하세요.

1단계: 공간에서 사용하는 SageMaker 실행 역할ARN의 를 검색합니다.

의 공백 및 실행 역할에 대한 자세한 내용은 섹션을 SageMaker참조하세요도메인 공간 권한 및 실행 역할 이해.

SageMaker의 실행 역할 ARN 중 를 검색하는 방법에 대한 자세한 내용은 섹션을 참조하세요실행 역할 가져오기.

2단계: EMR Serverless 애플리케이션에 액세스하는 SageMaker 실행 역할에 다음 권한을 연결합니다.

1. IAM에서 https://console.aws.amazon.com/iam/ 콘솔을 엽니다.

2. 역할을 선택한 다음 검색 필드에서 이름으로 실행 역할을 검색합니다. 역할 이름은 마지막 슬래시(/) 뒤에 있는 ARN의 마지막 부분입니다.

3. 역할에 대한 링크를 따릅니다.

4. 권한 추가를 선택한 다음 인라인 정책 생성을 선택합니다.

5. JSON 탭에서 도메인, 사용자 프로필 및 공백을 업데이트할 수 있는 역할 권한을 부여하는 인라인 정책을 추가합니다. SageMakerUpdateResourcesPolicy 정책 문서에 대한 자세한 내용은 의 도메인, 사용자 프로필 및 공간 업데이트 작업 정책을 참조하세요참조 정책. 문 목록을 역할의 인라인 정책에 복사하기 전에 region 및 를 accountID 실제 값으로 바꿉니다.

6. 다음을 선택한 다음 정책 이름 을 입력합니다.

7. 정책 생성을 선택합니다.

8. 인라인 정책 생성 단계를 반복하여 실행 역할에 를 수임한 AssumableRole 다음 역할의 액세스 정책에서 허용하는 작업을 수행할 수 있는 권한을 부여하는 다른 정책을 추가합니다.

   emr-account 를 Amazon EMR Serverless 계정 IDAssumableRole로 바꾸고 를 Amazon EMR Serverless 계정에서 생성된 추정 역할의 이름으로 바꿉니다.

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

3단계:

런타임 역할 목록을 도메인 또는 사용자 프로필과 연결하면 역할 목록을 시각적으로 검색하고 에서 EMR Serverless 애플리케이션에 연결할 때 사용할 역할을 선택할 수 있습니다 JupyterLab. SageMaker 콘솔 또는 다음 스크립트를 사용할 수 있습니다. 그런 다음 노트북에서 생성된 모든 Apache Spark 또는 Apache Hive 작업은 선택한 런타임 역할에 연결된 정책에서 허용하는 데이터 및 리소스에만 액세스합니다.