设置权限以允许从 SageMaker Studio 发布和启动亚马逊EMR应用程序

步骤 1：在 Amazon S3 控制台中检索您用于数据源和输出数据存储的 Amazon S3 存储桶。ARN

要了解如何按名称查找存储桶，请参阅访问和列出 Amazon S3 存储桶。有关如何创建 Amazon S3 存储桶的信息，请参阅创建存储桶。

第 2 步：在您的账户中为EMR无服务器应用程序创建至少一个任务运行时执行角色（上面的单一账户用例图）。EMRServerlessRuntimeExecutionRoleA选择自定义信任策略作为可信实体。添加您的工作所需的权限。您至少需要对 Amazon S3 存储桶的完全访问权限，以及对 AWS Glue 数据目录的创建和读取权限。

有关如何为EMR无服务器应用程序创建新的运行时执行角色的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 添加运行时角色所需的权限，命名策略，然后选择创建策略。

   您可以参阅 EMRServerless 的 Job 运行时角色来查找EMR无服务器运行时角色的示例运行时策略。

4. 在左侧导航窗格中，选择角色，然后选择创建角色。

5. 在创建角色页面上，选择自定义信任策略作为可信实体。

6. 将以下JSON文档粘贴到 “自定义信任策略” 部分，然后选择 “下一步”。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在添加权限页面中，添加您创建的策略，然后选择下一步。

8. 在 “审阅” 页面上，输入角色的名称（例如）EMRServerlessAppRuntimeRoleA和可选的描述。

9. 检查角色详细信息，然后选择 Create role。

使用这些角色，您和您的队友可以连接到同一个应用程序，每个应用程序都使用一个运行时角色，其权限范围与您的个人数据访问权限级别相匹配。

步骤 3：检索您的私有空间使用的 SageMaker执行角色。ARN

有关中空间和执行角色的信息 SageMaker，请参阅了解域空间权限和执行角色。

有关如何检索 of 的执行角色ARN SageMaker的更多信息，请参阅获取你的执行角色。

步骤 4：将以下权限附加到访问您的EMR无服务器应用程序的 SageMaker 执行角色。

1. 从 IAM 打开 https://console.aws.amazon.com/sagemaker/ 控制台。

2. 选择 “角色”，然后在 “搜索” 字段中按名称搜索您的执行角色。角色名称是的最后一部分ARN，位于最后一个正斜杠 (/) 之后。

3. 点击链接进入您的职位。

4. 选择添加权限，然后选择创建内联策略。

5. 在JSON选项卡中，添加允许EMR无服务器访问和操作的 Amazon EMR 无服务器权限。有关策略文档的详细信息，请参阅中的EMR无服务器策略。参考政策更换 region, accountID，并通过了 EMRServerlessAppRuntimeRole(s) 在将语句列表复制到您角色的内联策略之前，使用其实际值。

   注意

   您可以根据需要在权限中包含任意数量的运行时角色ARN字符串，并用逗号分隔。

6. 选择 “下一步”，然后提供策略名称。

7. 选择创建策略。

8. 重复创建内联策略步骤，添加另一个内联策略，授予角色更新域、用户配置文件和空间的权限。有关SageMakerUpdateResourcesPolicy策略文档的详细信息，请参阅中的域、用户配置文件和空间更新操作策略参考政策。更换 region 以及 accountID 在将语句列表复制到角色的内联策略之前，先使用它们的实际值。

第 5 步：

将运行时角色列表与您的用户配置文件或域相关联，这样您就可以直观地浏览角色列表并选择要在连接到EMR无服务器应用程序时使用的角色。 JupyterLab您可以使用 SageMaker 控制台或以下脚本。随后，您在笔记本上创建的所有 Apache Spark 或 Apache Hive 作业将仅访问附加到所选运行时角色的策略所允许的数据和资源。

第 1 步：在您的账户中为EMR无服务器应用程序创建至少一个任务运行时执行角色（上面跨账户图表EMRServerlessRuntimeExecutionRoleB中的）。选择自定义信任策略作为可信实体。添加您的工作所需的权限。您至少需要对 Amazon S3 存储桶的完全访问权限，以及对 AWS Glue 数据目录的创建和读取权限。

有关如何为EMR无服务器应用程序创建新的运行时执行角色的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 添加运行时角色所需的权限，命名策略，然后选择创建策略。

   有关EMR无服务器运行时角色的运行时策略示例，请参阅 Amazon Serv EMR erless 的作业运行时角色。

4. 在左侧导航窗格中，选择角色，然后选择创建角色。

5. 在创建角色页面上，选择自定义信任策略作为可信实体。

6. 将以下JSON文档粘贴到 “自定义信任策略” 部分，然后选择 “下一步”。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在添加权限页面中，添加您创建的策略，然后选择下一步。

8. 在 “审阅” 页面上，输入角色的名称（例如）EMRServerlessAppRuntimeRoleB和可选的描述。

9. 检查角色详细信息，然后选择 Create role。

使用这些角色，您和您的队友可以连接到同一个应用程序，每个应用程序都使用一个运行时角色，其权限范围与您的个人数据访问权限级别相匹配。

步骤 2：使用以下配置创建名为AssumableRole的自定义IAM角色：

通过担任该角色，Studio 可以临时访问其在EMR无服务器帐户中所需的权限。

有关如何在您的EMR无服务器账户AssumableRole中创建新 AWS 账户的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 在JSON选项卡中，添加允许EMR无服务器访问和操作的 Amazon EMR 无服务器权限。有关策略文档的详细信息，请参阅中的EMR无服务器策略。参考政策在将region语句列表复制到角色的内联策略之前，将accountID、和 passed EMRServerlessAppRuntimeRole (s) 替换为它们的实际值。

   注意

   EMRServerlessAppRuntimeRole以下是在步骤 1 中创建的作业运行时执行角色（上面交叉账户图EMRServerlessAppRuntimeRoleB中的）。您可以根据需要在权限中包含任意数量的运行时角色ARN字符串，并用逗号分隔。

4. 选择 “下一步”，然后提供策略名称。

5. 选择创建策略。

6. 在左侧导航窗格中，选择角色，然后选择创建角色。

7. 在创建角色页面上，选择自定义信任策略作为可信实体。

8. 将以下JSON文档粘贴到 “自定义信任策略” 部分，然后选择 “下一步”。

   studio-account替换为 Studio 帐户 ID 和AmazonSageMaker-ExecutionRole您的 JupyterLab 空间使用的执行角色。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. 在添加权限页面中，添加EMRServerlessAppRuntimeRoleB您在步骤 2 中创建的权限，然后选择下一步。

10. 在 “审阅” 页面上，输入角色的名称（例如）AssumableRole和可选的描述。

11. 检查角色详细信息，然后选择 Create role。

有关在 AWS 账户上创建角色的更多信息，请参阅创建IAM角色（控制台）。

步骤 1：检索您的空间使用的 SageMaker 执行角色。ARN

有关中空间和执行角色的信息 SageMaker，请参阅了解域空间权限和执行角色。

有关如何检索 of 的执行角色ARN SageMaker的更多信息，请参阅获取你的执行角色。

步骤 2：将以下权限附加到访问您的EMR无服务器应用程序的 SageMaker 执行角色。

1. 从 IAM 打开 https://console.aws.amazon.com/iam/ 控制台。

2. 选择 “角色”，然后在 “搜索” 字段中按名称搜索您的执行角色。角色名称是的最后一部分ARN，位于最后一个正斜杠 (/) 之后。

3. 点击链接进入您的职位。

4. 选择添加权限，然后选择创建内联策略。

5. 在JSON选项卡中，添加内联策略，授予角色更新域、用户配置文件和空间的权限。有关SageMakerUpdateResourcesPolicy策略文档的详细信息，请参阅中的域、用户配置文件和空间更新操作策略参考政策。在将语句列表复制到角色的内联策略之前，请将region和accountID替换为它们的实际值。

6. 选择 “下一步”，然后提供策略名称。

7. 选择创建策略。

8. 重复 “创建内联策略” 步骤，添加另一个策略，授予执行角色代入权限，AssumableRole然后执行该角色的访问策略允许的操作。

   emr-account替换为亚马逊EMR无服务器账户 ID，并AssumableRole替换为在亚马逊无EMR服务器账户中创建的假设角色的名称。

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

第 3 步：

将运行时角色列表与您的域或用户配置文件相关联，这样您就可以直观地浏览角色列表，并从 JupyterLab中选择连接到EMR无服务器应用程序时要使用的角色。您可以使用 SageMaker 控制台或以下脚本。随后，您在笔记本上创建的所有 Apache Spark 或 Apache Hive 作业将仅访问附加到所选运行时角色的策略所允许的数据和资源。