在 Studio 中为访问亚马逊EMR集群配置IAM运行时角色

要使用 SageMaker 控制台将运行时角色与您的用户配置文件或域关联起来，请执行以下操作：

当您下次连接到 Amazon EMR 服务器时，运行时角色应出现在下拉菜单中以供选择。

在使用已更新权限的 SageMaker 执行角色从空间启动的 JupyterLab 应用程序中，在终端中运行以下命令。将domainID、user-profile-name、和emr-accountID，EMRServiceRole替换为正确的值。此代码片段在跨账户用例中更新 SageMaker 网域内的用户配置文件设置 (client.update_userprofile)。具体而言，它为 Amazon 设置了服务角色EMR。它还允许 JupyterLab 应用程序担任在亚马逊EMR账户EMR中运行亚马逊的特定IAM角色（AssumableRole或AccessRole）。

或者，如果您的空间使用client.update_domain在域级别设置的执行角色，则使用来更新域设置。

import botocore.session
import json
sess = botocore.session.get_session()
client = sess.create_client('sagemaker')

client.update_userprofile(
DomainId="domainID", 
UserProfileName="user-profile-name",
DefaultUserSettings={
    'JupyterLabAppSettings': {
        'EmrSettings': {
            'AssumableRoleArns': ["arn:aws:iam::emr-accountID:role/AssumableRole"],
            'ExecutionRoleArns': ["arn:aws:iam::emr-accountID:role/EMRServiceRole", 
                             "arn:aws:iam::emr-accountID:role/AnotherServiceRole"]
        }
        
    }
})
resp = client.describe_user_profile(DomainId="domainID", UserProfileName=user-profile-name")

resp['CreationTime'] = str(resp['CreationTime'])
resp['LastModifiedTime'] = str(resp['LastModifiedTime'])
print(json.dumps(resp, indent=2))

向ARN你的 SageMaker 执行角色提供 AccessRole (AssumableRole) 的。由 Jupyter 服务器在启动时加载。ARNStudio 使用的执行角色假设该跨账户角色来发现和连接信任账户中的 Amazon EMR 集群。

您可以使用生命周期配置 (LCC) 脚本来指定此信息。您可以将附加LCC到您的域名或特定的用户个人资料。您使用的LCC脚本必须是 JupyterServer 配置。有关如何创建LCC脚本的更多信息，请参阅在 Studio Classic 中使用生命周期配置。

以下是一个LCC脚本示例。要修改脚本，请将AssumableRole和emr-account替换为各自的值。交叉账户的数量限制为五个。

以下代码段是 LCC bash 脚本示例，如果您的 Studio Classic 应用程序和集群位于同一个账户中，则可以应用：

#!/bin/bash

set -eux

FILE_DIRECTORY="/home/sagemaker-user/.sagemaker-analytics-configuration-DO_NOT_DELETE"
FILE_NAME="emr-configurations-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat << 'EOF' > "$FILE"
{
    "emr-execution-role-arns":
    {
      "123456789012": [
          "arn:aws:iam::123456789012:role/emr-execution-role-1",
          "arn:aws:iam::123456789012:role/emr-execution-role-2"
      ]
    }
}
EOF

如果您的 Studio Classic 应用程序和集群位于不同的账户中，请指定可以使用该集群的 Amazon EMR 访问角色。在以下示例策略中，123456789012是EMR亚马逊集群账户ID，212121212 121 和 434343434343是允许的亚马逊访问角色的ID。ARNs EMR

#!/bin/bash

set -eux

FILE_DIRECTORY="/home/sagemaker-user/.sagemaker-analytics-configuration-DO_NOT_DELETE"
FILE_NAME="emr-configurations-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat << 'EOF' > "$FILE"
{
    "emr-execution-role-arns":
    {
      "123456789012": [
          "arn:aws:iam::212121212121:role/emr-execution-role-1",
          "arn:aws:iam::434343434343:role/emr-execution-role-2"
      ]
    }
}
EOF

# add your cross-account EMR access role
FILE_DIRECTORY="/home/sagemaker-user/.cross-account-configuration-DO_NOT_DELETE"
FILE_NAME="emr-discovery-iam-role-arns-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat << 'EOF' > "$FILE"
{
    "123456789012": "arn:aws:iam::123456789012:role/cross-account-emr-access-role"
}
EOF