本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用執行階段角色執行 EMR Studio 工作區

執行時期角色是一種 AWS Identity and Access Management (IAM) 角色，您可以在向 Amazon EMR 叢集提交任務或查詢時指定該角色。您提交至EMR叢集的任務或查詢會使用執行時期角色存取 AWS 資源，例如 Amazon S3 中的物件。

將 EMR Studio Workspace 連接到使用 Amazon EMR 6.11 或更高版本的EMR叢集時，您可以為任務選取執行時期角色或您提交的查詢，以便在其存取 AWS 資源時使用。但是，如果EMR叢集不支援執行階段角色，EMR叢集在存取 AWS 資源時將不會擔任該角色。

管理員必須先設定使用者許可，才能將執行階段角色與 Amazon EMR Studio 工作區搭配使用，以便 Studio 使用者可以呼叫執elasticmapreduce:GetClusterSessionCredentialsAPI行階段角色。然後，啟動具有可與 Amazon EMR Studio 工作區搭配使用的執行時期角色的新叢集。

設定執行期角色的使用者許可

設定使用者權限，以便 Studio 使用者可以呼叫使用者想要使用的執行階段角色。elasticmapreduce:GetClusterSessionCredentials API還必須在使用者開始使用 Studio 之前設定 為 Amazon EC2 或 Amazon 配置EMR工作室用戶許可 EKS。

{
      "Sid": "AllowSpecificExecRoleArn",
      "Effect": "Allow",
      "Action": [
          "elasticmapreduce:GetClusterSessionCredentials"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "elasticmapreduce:ExecutionRoleArn": [
                  "arn:aws:iam::111122223333:role/test-emr-demo1",
                  "arn:aws:iam::111122223333:role/test-emr-demo2"
              ]
          }
      }
  }

下列範例示範如何允許IAM主體使用名test-emr-demo3為執行階段IAM角色的角色。此外，政策持有者將只能使用叢集 ID 存取 Amazon EMR 叢集j-123456789。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": [
          "arn:aws:elasticmapreduce:<region>:111122223333:cluster/j-123456789"
     ],
    "Condition":{
        "StringEquals":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo3"
            ]
        }
    }
}

下列範例可讓IAM主體使用名稱以字串開頭的任何IAM角色test-emr-demo4做為執行階段角色。此外，政策持有者將只能存取標記為鍵值對tagKey: tagValue的 Amazon EMR 叢集。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": "*",
    "Condition":{
        "StringEquals":{
             "elasticmapreduce:ResourceTag/tagKey": "tagValue"
        },
        "StringLike":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo4*"
            ]
        }
    }
}

啟動具有執行期角色的新叢集

現在您已擁有必要的許可，請啟動具有執行時期角色的新叢集，您可以與 Amazon EMR Studio 工作區搭配使用。

如果您已啟動具有執行期角色的新叢集，則可以跳至 在工作區中使用具有執行階段角色的EMR叢集 區段。

啟動叢集之後，您就可以將啟用執行階段角色的叢集與 EMR Studio 工作區搭配使用。

在工作區中使用具有執行階段角色的EMR叢集

設定並啟動叢集之後，您就可以將啟用執行階段角色的叢集與 EMR Studio Workspace 搭配使用。

考量事項

將啟用執行階段角色的叢集與 Amazon EMR Studio 工作區搭配使用時，請記住下列考量事項：