设置权限以允许从 Studio 发布和启动 Amazon EMR 应用程序 SageMaker

步骤 1：在 Amazon S3 管理控制台中读取用于数据来源和输出数据存储的 Amazon S3 存储桶的 ARN。

要了解如何通过名称查找存储桶，请参阅访问并列出 Amazon S3 存储桶。有关如何创建 Amazon S3 存储桶的信息，请参阅创建存储桶。

步骤 2：在您的账户中为 EMR Serverless 应用程序创建至少一个作业运行时执行角色（上文单一账户使用场景图中的 EMRServerlessRuntimeExecutionRoleA）。选择自定义信任策略作为受信任实体。添加作业所需的权限。您至少需要对 Amazon S3 存储桶的完全访问权限，以及对 AWS Glue 数据目录的创建和读取权限。

有关如何为 EMR Serverless 应用程序创建新运行时执行角色的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 添加运行时角色所需的权限，命名策略，然后选择 创建策略。

   您可以参考 EMR Serverless 的作业运行时角色查找 EMR Serverless 运行时角色的运行时策略示例。

4. 在左侧导航窗格中，选择角色，然后选择创建角色。

5. 在创建角色页面上，选择自定义信任策略作为受信任实体。

6. 在自定义信任策略部分粘贴以下 JSON 文档，然后选择下一步。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在添加权限页面上，添加创建的策略，然后选择下一步。

8. 在审查页面上，输入角色名称（如 EMRServerlessAppRuntimeRoleA）和可选描述。

9. 检查角色详细信息，然后选择 Create role。

有了这些角色，您和您的队友就可以连接到同一个应用程序，每个人都可以使用一个运行时角色，该角色的权限与您访问数据的个人级别相匹配。

步骤 3：检索您的私有空间使用的 SageMaker AI 执行角色的 ARN。

有关 SageMaker AI 中的空间和执行角色的信息，请参阅了解域空间权限和执行角色。

有关如何检索 A SageMaker I 执行角色的 ARN 的更多信息，请参阅。获取执行角色

步骤 4：将以下权限附加到访问您的 EMR Serverless 应用程序的 SageMaker AI 执行角色。

1. 使用 https://console.aws.amazon.com/sagemaker/ 打开 IAM 控制台。

2. 选择角色，然后在搜索字段中按名称搜索执行角色。角色名称是 ARN 的最后一部分，位于最后一个正斜线 (/) 之后。

3. 点击链接进入您的角色。

4. 选择添加权限，然后选择创建内联策略。

5. 在 JSON 标签中，添加允许 EMR Serverless 访问和操作的 Amazon EMR Serverless 权限。有关策略文档的详细信息，请参阅 参考策略 中的 EMR Serverless 策略。用实际值替换 region、accountID 和通过的 EMRServerlessAppRuntimeRole ，然后将语句列表复制到角色的内联策略中。

   注意

   您可以根据需要在权限中包含任意多个运行时角色的 ARN 字符串，并用逗号分隔。

6. 选择下一步，然后提供一个策略名称。

7. 选择创建策略。

8. 重复创建内联策略步骤，添加另一个内联策略，授予角色更新域、用户配置文件和空间的权限。有关 SageMakerUpdateResourcesPolicy 策略文档的详情，请参阅 参考策略 中的域、用户配置文件和空间更新操作策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

步骤 5：

将运行时角色列表与您的用户个人资料或域相关联，这样您就可以直观地浏览角色列表并选择在连接到 EMR Serverless 应用程序时要使用的角色。 JupyterLab您可以使用 SageMaker AI 控制台或以下脚本。随后，从笔记本创建的所有 Apache Spark 或 Apache Hive 作业都只能访问所选运行时角色附加策略允许的数据和资源。

步骤 1：在您的账户中为 EMR Serverless 应用程序创建至少一个作业运行时执行角色（上文跨账户图中的 EMRServerlessRuntimeExecutionRoleB）。选择自定义信任策略作为受信任实体。添加作业所需的权限。您至少需要对 Amazon S3 存储桶的完全访问权限，以及对 AWS Glue 数据目录的创建和读取权限。

有关如何为 EMR Serverless 应用程序创建新运行时执行角色的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 添加运行时角色所需的权限，命名策略，然后选择创建策略。

   有关 EMR Serverless 运行时角色的运行时策略示例，请参阅 Amazon EMR Serverless 的作业运行时角色。

4. 在左侧导航窗格中，选择角色，然后选择创建角色。

5. 在创建角色页面上，选择自定义信任策略作为受信任实体。

6. 在自定义信任策略部分粘贴以下 JSON 文档，然后选择下一步。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在添加权限页面上，添加创建的策略，然后选择下一步。

8. 在审查页面上，输入角色名称（如 EMRServerlessAppRuntimeRoleB）和可选描述。

9. 检查角色详细信息，然后选择 Create role。

有了这些角色，您和您的队友就可以连接到同一个应用程序，每个人都可以使用一个运行时角色，该角色的权限与您访问数据的个人级别相匹配。

步骤 2：使用以下配置创建名为 AssumableRole 的自定义 IAM 角色：

通过担任该角色，Studio 可以临时访问 EMR Serverless 账户所需的权限。

有关如何在 EMR Serverless 账户AssumableRole中创建新 AWS 账户的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 在 JSON 标签中，添加允许 EMR Serverless 访问和操作的 Amazon EMR Serverless 权限。有关策略文档的详细信息，请参阅 参考策略 中的 EMR Serverless 策略。用实际值替换 region、accountID 和通过的 EMRServerlessAppRuntimeRole ，然后将语句列表复制到角色的内联策略中。

   注意

   这里的 EMRServerlessAppRuntimeRole 是在步骤 1 中创建的作业运行时执行角色（即上文跨账户图中的 EMRServerlessAppRuntimeRoleB）。您可以根据需要在权限中包含任意多个运行时角色的 ARN 字符串，并用逗号分隔。

4. 选择下一步，然后提供一个策略名称。

5. 选择创建策略。

6. 在左侧导航窗格中，选择角色，然后选择创建角色。

7. 在创建角色页面上，选择自定义信任策略作为受信任实体。

8. 在自定义信任策略部分粘贴以下 JSON 文档，然后选择下一步。

   studio-account替换为 Studio 帐户 ID 和AmazonSageMaker-ExecutionRole您的 JupyterLab 空间使用的执行角色。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. 在添加权限页面中，添加在步骤 2 中创建的权限 EMRServerlessAppRuntimeRoleB，然后选择下一步。

10. 在审查页面上，输入角色名称（如 AssumableRole）和可选描述。

11. 检查角色详细信息，然后选择 Create role。

有关在 AWS 账户上创建角色的更多信息，请参阅创建 IAM 角色（控制台）。

步骤 1：检索您的空间使用的 SageMaker AI 执行角色的 ARN。

有关 SageMaker AI 中的空间和执行角色的信息，请参阅了解域空间权限和执行角色。

有关如何检索 A SageMaker I 执行角色的 ARN 的更多信息，请参阅。获取执行角色

步骤 2：将以下权限附加到访问您的 EMR Serverless 应用程序的 SageMaker AI 执行角色。

1. 使用 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 选择角色，然后在搜索字段中按名称搜索执行角色。角色名称是 ARN 的最后一部分，位于最后一个正斜线 (/) 之后。

3. 点击链接进入您的角色。

4. 选择添加权限，然后选择创建内联策略。

5. 在 JSON 选项卡中，添加授予角色更新域、用户配置文件和空间权限的内联策略。有关 SageMakerUpdateResourcesPolicy 策略文档的详情，请参阅 参考策略 中的域、用户配置文件和空间更新操作策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

6. 选择下一步，然后提供一个策略名称。

7. 选择创建策略。

8. 重复创建内联策略步骤，添加另一个策略，授予执行角色使用 AssumableRole 的权限，然后执行角色访问策略允许的操作。

   将 emr-account 替换为 Amazon EMR Serverless 帐户 ID，将 AssumableRole 替换为 Amazon EMR Serverless 帐户中创建的可承担角色的名称。

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

步骤 3：

将运行时角色列表与您的域或用户配置文件相关联，这样您就可以直观地浏览角色列表并选择在连接到 EMR Serverless 应用程序时要使用的角色。 JupyterLab您可以使用 SageMaker AI 控制台或以下脚本。随后，从笔记本创建的所有 Apache Spark 或 Apache Hive 作业都只能访问所选运行时角色附加策略允许的数据和资源。