使用執行期角色執行 EMR Studio 工作區

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

執行期角色是 AWS Identity and Access Management (IAM) 角色，您可以在將任務或查詢提交至 Amazon EMR 叢集時指定。您提交給 EMR 叢集的任務或查詢會使用執行時間角色來存取 AWS 資源，例如 Amazon S3 中的物件。

當您將 EMR Studio 工作區連接至使用 Amazon EMR 6.11 或更新版本的 EMR 叢集時，您可以為任務或查詢選取執行時間角色，以便在其存取 AWS 資源時使用。不過，如果 EMR 叢集不支援執行期角色，EMR 叢集在存取 AWS 資源時不會擔任該角色。

管理員必須先設定使用者許可，才能將執行期角色與 Amazon EMR Studio 工作區搭配使用，以便 Studio 使用者可以針對執行期角色呼叫 elasticmapreduce:GetClusterSessionCredentials API。然後，啟動具有執行期角色的新叢集，該角色可與 Amazon EMR Studio 工作區搭配使用。

設定執行期角色的使用者許可

設定使用者許可，以便 Studio 使用者可以針對使用者想要使用的執行期角色呼叫 elasticmapreduce:GetClusterSessionCredentials API。還必須在使用者開始使用 Studio 之前設定 設定 Amazon EC2 或 Amazon EKS 的 EMR Studio 使用者許可。

{
      "Sid": "AllowSpecificExecRoleArn",
      "Effect": "Allow",
      "Action": [
          "elasticmapreduce:GetClusterSessionCredentials"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "elasticmapreduce:ExecutionRoleArn": [
                  "arn:aws:iam::111122223333:role/test-emr-demo1",
                  "arn:aws:iam::111122223333:role/test-emr-demo2"
              ]
          }
      }
  }

下列範例示範如何允許 IAM 主體使用名為 test-emr-demo3 的 IAM 角色作為執行期角色。此外，政策持有者將只能使用叢集 ID j-123456789 來存取 Amazon EMR 叢集。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": [
          "arn:aws:elasticmapreduce:<region>:111122223333:cluster/j-123456789"
     ],
    "Condition":{
        "StringEquals":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo3"
            ]
        }
    }
}

下列範例可讓 IAM 主體使用名稱以字串 test-emr-demo4 開頭的任何 IAM 角色作為執行期角色。此外，政策持有者將只能存取以鍵/值對 tagKey: tagValue 標記的 Amazon EMR 叢集。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": "*",
    "Condition":{
        "StringEquals":{
             "elasticmapreduce:ResourceTag/tagKey": "tagValue"
        },
        "StringLike":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo4*"
            ]
        }
    }
}

啟動具有執行期角色的新叢集

您已擁有必要的許可，因此可啟動具有執行期角色的新叢集，該角色可與 Amazon EMR Studio 工作區搭配使用。

如果您已啟動具有執行期角色的新叢集，則可以跳至 在工作區中搭配使用 EMR 叢集與執行期角色 區段。

啟動叢集之後，就可以將啟用執行期角色的叢集與 EMR Studio 工作區搭配使用。

在工作區中搭配使用 EMR 叢集與執行期角色

設定並啟動叢集之後，就可以將啟用執行期角色的叢集與 EMR Studio 工作區搭配使用。

考量事項

將啟用執行期角色的叢集與 Amazon EMR Studio 工作區搭配使用時，請謹記下列考量：