在服务目录中配置 Amazon EMR CloudFormation 模板

步骤 1：读取专用空间使用的 SageMaker 执行角色的 ARN。

有关 SageMaker 中空间和执行角色的信息，请参阅 了解域空间权限和执行角色。

有关如何检索 SageMaker 执行角色的 ARN 的更多信息，请参阅 获取执行角色。

步骤 2：为访问 Amazon EMR 集群的 SageMaker 执行角色附加以下权限。

1. 导航到 IAM 控制台。

2. 选择角色，然后在搜索字段中按名称搜索执行角色。角色名称是 ARN 的最后一部分，位于最后一个正斜线 (/) 之后。

3. 点击链接进入您的角色。

4. 选择添加权限，然后选择创建内联策略。

5. 在 JSON 选项卡中，添加允许 Amazon EMR 访问和操作的 Amazon EMR 权限。有关策略文件的详细信息，请参阅 参考策略 中的列出 Amazon EMR 策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

6. 选择下一步，然后提供一个策略名称。

7. 选择创建策略。

8. 重复创建内联策略步骤，添加另一个策略，授予执行角色使用 AWS CloudFormation 模板配置新 Amazon EMR 集群的权限。有关策略文档的详细信息，请参阅 参考策略 中的创建 Amazon EMR 集群策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

步骤 1：读取 Amazon EMR 集群服务角色的 ARN。

要了解如何查找集群服务角色的 ARN，请参阅为 Amazon EMR 对 AWS 服务和资源的权限配置 IAM 服务角色。

步骤 2：使用以下配置创建名为 AssumableRole 的自定义 IAM 角色：

通过担任该角色，Studio 或 Studio Classic 可以临时访问 Amazon EMR 中所需的权限。

有关如何在 Amazon EMR AWS 账户中创建新 AssumableRole 的详细说明，请按照以下步骤操作：

1. 导航到 IAM 控制台。

2. 在左侧导航窗格中，选择策略，然后选择创建策略。

3. 在 JSON 选项卡中，添加允许 Amazon EMR 访问和操作的 Amazon EMR 权限。有关策略文件的详细信息，请参阅 参考策略 中的列出 Amazon EMR 策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

4. 选择下一步，然后提供一个策略名称。

5. 选择创建策略。

6. 在左侧导航窗格中，选择角色，然后选择创建角色。

7. 在创建角色页面上，选择自定义信任策略作为受信任实体。

8. 在自定义信任策略部分粘贴以下 JSON 文档，然后选择下一步。

   For users of Studio and JupyterLab

   将 studio-account 替换为 Studio 帐户 ID，将 AmazonSageMaker-ExecutionRole 替换为 JupyterLab 空间使用的执行角色。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   For users of Studio Classic

   将 studio-account 替换为 Studio Classic 帐户 ID。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::studio-account:root"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

9. 在添加权限页面上，添加刚刚创建的权限，然后选择下一步。

10. 在审查页面上，输入角色名称（如 AssumableRole）和可选描述。

11. 检查角色详细信息，然后选择 Create role。

有关在 AWS 账户上创建角色的更多信息，请参阅创建 IAM 角色（管理控制台）。

步骤 1：读取专用空间使用的 SageMaker 执行角色的 ARN。

有关 SageMaker 中空间和执行角色的信息，请参阅 了解域空间权限和执行角色。

有关如何检索 SageMaker 执行角色的 ARN 的更多信息，请参阅 获取执行角色。

步骤 2：为访问 Amazon EMR 集群的 SageMaker 执行角色附加以下权限。

1. 导航到 IAM 控制台。

2. 选择角色，然后在搜索字段中按名称搜索执行角色。角色名称是 ARN 的最后一部分，位于最后一个正斜线 (/) 之后。

3. 点击链接进入您的角色。

4. 选择添加权限，然后选择创建内联策略。

5. 在 JSON 选项卡中，添加授予角色更新域、用户配置文件和空间权限的内联策略。有关策略文档的详细信息，请参阅 参考策略 中的域、用户配置文件和空间更新操作策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

6. 选择下一步，然后提供一个策略名称。

7. 选择创建策略。

8. 重复创建内联策略步骤，添加另一个策略，授予执行角色使用 AssumableRole 的权限，然后执行角色访问策略允许的操作。将 emr-account 替换为 Amazon EMR 帐户 ID，将 AssumableRole 替换为 Amazon EMR 帐户中创建的可承担角色的名称。

   {
     "Version": "2012-10-17",
     "Statement": [
     { 
               "Sid": "AllowRoleAssumptionForCrossAccountDiscovery", 
               "Effect": "Allow", 
               "Action": "sts:AssumeRole", 
               "Resource":  ["arn:aws:iam::emr-account:role/AssumableRole" ]
     }]
   }

9. 重复创建内联策略步骤，添加另一个策略，授予执行角色使用 AWS CloudFormation 模板配置新 Amazon EMR 集群的权限。有关策略文档的详细信息，请参阅 参考策略 中的 创建 Amazon EMR 群集策略。用实际值替换 region 和 accountID，然后将语句列表复制到角色的内联策略中。

10. （可选）要允许列出与 Studio 部署在同一账户中的 Amazon EMR 集群，请按照 参考策略 中的列出 Amazon EMR 策略中的定义，在 Studio 执行角色中添加额外的内联策略。

步骤 3：将您的可承担角色（访问角色）与您的域或用户配置文件关联起来。JupyterLab in Studio 用户可以使用 SageMaker 管理控制台或提供的脚本。

选择与您的使用场景相对应的选项卡。