本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用运行时角色运行 EMR Studio 工作区

运行时角色是一个 AWS Identity and Access Management (IAM) 角色，您可以在向 Amazon EMR 集群提交任务或查询时指定该角色。您提交到EMR集群的任务或查询使用运行时角色访问 AWS 资源，例如 Amazon S3 中的对象。

将 EMR Studio Workspace 附加到使用 Amazon EMR 6.11 或更高版本的EMR集群时，您可以为任务或查询选择一个运行时角色，供其在访问 AWS 资源时使用。但是，如果EMR集群不支持运行时角色，则EMR集群在访问 AWS 资源时不会担任该角色。

在 Amazon EMR Studio 工作区中使用运行时角色之前，管理员必须配置用户权限，以便 Studio 用户可以调用运行时角色。elasticmapreduce:GetClusterSessionCredentials API然后，启动一个具有运行时角色的新集群，您可以将其与 Amazon EMR Studio Workspace 配合使用。

为运行时系统角色配置用户权限

配置用户权限，以便 Studio 用户可以在用户想要使用的运行时角色elasticmapreduce:GetClusterSessionCredentialsAPI上调用。您还必须先配置 为亚马逊EC2或亚马逊配置 EMR Studio 用户权限 EKS，用户才能开始使用 Studio。

{
      "Sid": "AllowSpecificExecRoleArn",
      "Effect": "Allow",
      "Action": [
          "elasticmapreduce:GetClusterSessionCredentials"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "elasticmapreduce:ExecutionRoleArn": [
                  "arn:aws:iam::111122223333:role/test-emr-demo1",
                  "arn:aws:iam::111122223333:role/test-emr-demo2"
              ]
          }
      }
  }

以下示例演示如何允许IAM委托人使用名test-emr-demo3为运行时角色的角色。IAM此外，保单持有人只能使用EMR集群 ID 访问亚马逊集群j-123456789。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": [
          "arn:aws:elasticmapreduce:<region>:111122223333:cluster/j-123456789"
     ],
    "Condition":{
        "StringEquals":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo3"
            ]
        }
    }
}

以下示例允许IAM委托人使用名称以字符串开头的任何IAM角色test-emr-demo4作为运行时角色。此外，保单持有人只能访问标有键值对的 Amazon EMR 集群。tagKey: tagValue

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": "*",
    "Condition":{
        "StringEquals":{
             "elasticmapreduce:ResourceTag/tagKey": "tagValue"
        },
        "StringLike":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo4*"
            ]
        }
    }
}

使用运行时系统角色启动新集群

现在，您已拥有所需的权限，可以启动一个具有运行时角色的新集群，您可以在 Amazon EMR Studio Workspace 中使用该角色。

如果已经启动具有运行时系统角色的新集群，则可跳至 在工作区中使用具有运行时角色的EMR集群 小节。

启动集群后，就可以将启用运行时角色的集群与 EMR Studio Workspace 一起使用了。

在工作区中使用具有运行时角色的EMR集群

设置并启动集群后，您可以将启用运行时角色的集群与 EMR Studio Workspace 配合使用。

注意事项

在 Amazon EMR Studio Workspace 中使用支持运行时角色的集群时，请记住以下注意事项：