設定許可，以從 SageMaker Studio 啟用列出和啟動 Amazon EMR 應用程式

步驟 1：擷取您用於 Amazon S3 主控台中資料來源和輸出資料儲存的 Amazon S3 儲存貯體 ARN。

若要了解如何依名稱尋找儲存貯體，請參閱存取和列出 Amazon S3 儲存貯體。如需如何建立 Amazon S3 儲存貯體的資訊，請參閱建立儲存貯體。

步驟 2：在您的帳戶中為 EMR Serverless 應用程式建立至少一個任務執行期執行角色 （上述單一帳戶使用案例圖表EMRServerlessRuntimeExecutionRoleA中的 )。選擇自訂信任政策做為信任的實體。新增任務所需的許可。您至少需要完整存取 Amazon S3 儲存貯體，並建立和讀取 AWS Glue Data Catalog 的存取權。

如需如何為 EMR Serverless 應用程式建立新的執行階段執行角色的詳細說明，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 新增執行時間角色所需的許可、為政策命名，然後選擇建立政策。

   您可以參考 EMR Serverless 的任務執行期角色，以尋找 EMR Serverless 執行期角色的範例執行期政策。

4. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

5. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

6. 在自訂信任政策區段中貼上下列 JSON 文件，然後選擇下一步。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在新增許可頁面中，新增您建立的政策，然後選擇下一步。

8. 在檢閱頁面上，輸入角色的名稱，例如 EMRServerlessAppRuntimeRoleA和選用的描述。

9. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

透過這些角色，您和您的團隊成員可以連接到相同的應用程式，每個應用程式都使用範圍限定的執行期角色，其許可符合對資料的個別存取層級。

步驟 3：擷取私有空間所使用的 SageMaker AI 執行角色 ARN。

如需 SageMaker AI 中空間和執行角色的資訊，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker AI 執行角色 ARN 的詳細資訊，請參閱 取得您的執行角色。

步驟 4：將下列許可連接到存取 EMR Serverless 應用程式的 SageMaker AI 執行角色。

1. 在 https://console.aws.amazon.com/sagemaker/ 開啟 IAM 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是 ARN 的最後一部分，在最後一個正斜線 (/) 之後。

3. 遵循您的角色連結。

4. 選擇新增許可，然後選擇建立內嵌政策。

5. 在 JSON 索引標籤中，新增允許 EMR Serverless 存取和操作的 Amazon EMR Serverless 許可。如需政策文件的詳細資訊，請參閱 中的 EMR Serverless 政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將區域、accountID 和傳遞的 EMRServerlessAppRuntimeRole(s) 取代為實際值。

   注意

   您可以在許可中視需要包含任意數量的執行期角色 ARN 字串，以逗號分隔。

6. 選擇下一步，然後提供政策名稱。

7. 選擇 建立政策。

8. 重複建立內嵌政策步驟，以新增另一個內嵌政策，授予角色更新網域、使用者設定檔和空格的許可。如需SageMakerUpdateResourcesPolicy政策文件的詳細資訊，請參閱 中的網域、使用者設定檔和空間更新動作政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將區域和 accountID 取代為實際值。

步驟 5：

將執行期角色清單與您的使用者設定檔或網域建立關聯，以便您以視覺化方式瀏覽角色清單，並選取從 JupyterLab 連線至 EMR Serverless 應用程式時要使用的清單。您可以使用 SageMaker AI 主控台或下列指令碼。之後，從筆記本建立的所有 Apache Spark 或 Apache Hive 任務只會存取連接到所選執行時間角色的政策所允許的資料和資源。

步驟 1：在您的 帳戶中為 EMR Serverless 應用程式建立至少一個任務執行期執行角色 （在上述跨帳戶圖表EMRServerlessRuntimeExecutionRoleB中的 )。選擇自訂信任政策做為信任的實體。新增任務所需的許可。您至少需要完整存取 Amazon S3 儲存貯體，並建立和讀取 AWS Glue Data Catalog 的存取權。

如需如何為 EMR Serverless 應用程式建立新的執行階段執行角色的詳細說明，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 新增執行時間角色所需的許可、為政策命名，然後選擇建立政策。

   如需 EMR Serverless 執行時間角色的範例執行時間政策，請參閱 Amazon EMR Serverless 的任務執行時間角色。

4. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

5. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

6. 在自訂信任政策區段中貼上下列 JSON 文件，然後選擇下一步。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在新增許可頁面中，新增您建立的政策，然後選擇下一步。

8. 在檢閱頁面上，輸入角色的名稱，例如 EMRServerlessAppRuntimeRoleB和選用的描述。

9. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

透過這些角色，您和您的團隊成員可以連線到相同的應用程式，每個應用程式都使用範圍限定的執行期角色，其許可符合個別層級的資料存取。

步驟 2：使用下列組態建立名為 AssumableRole的自訂 IAM 角色：

透過擔任角色，Studio 可以暫時存取 EMR Serverless 帳戶中所需的許可。

如需如何在 EMR Serverless AssumableRole AWS 帳戶中建立新 的詳細說明，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 在 JSON 索引標籤中，新增允許 EMR Serverless 存取和操作的 Amazon EMR Serverless 許可。如需政策文件的詳細資訊，請參閱 中的 EMR Serverless 政策參考政策。將陳述式清單複製到角色的內嵌政策之前accountID，請將 region、 和 傳遞的 EMRServerlessAppRuntimeRole() 取代為實際值。

   注意

   EMRServerlessAppRuntimeRole 以下是在步驟 1 中建立的任務執行期執行角色 （上述跨帳戶圖表EMRServerlessAppRuntimeRoleB中的 )。您可以在許可中視需要包含任意數量的執行期角色 ARN 字串，以逗號分隔。

4. 選擇下一步，然後提供政策名稱。

5. 選擇 建立政策。

6. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

7. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

8. 在自訂信任政策區段中貼上下列 JSON 文件，然後選擇下一步。

   studio-account 將 取代為 Studio 帳戶 ID，並將 AmazonSageMaker-ExecutionRole取代為 JupyterLab 空間使用的執行角色。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. 在新增許可頁面中，新增EMRServerlessAppRuntimeRoleB您在步驟 2 中建立的許可，然後選擇下一步。

10. 在檢閱頁面上，輸入角色的名稱，例如 AssumableRole和選用的描述。

11. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

如需在 AWS 帳戶上建立角色的詳細資訊，請參閱建立 IAM 角色 （主控台）。

步驟 1：擷取空間使用的 SageMaker AI 執行角色 ARN。

如需 SageMaker AI 中空間和執行角色的資訊，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker AI 執行角色 ARN 的詳細資訊，請參閱 取得您的執行角色。

步驟 2：將下列許可連接到存取 EMR Serverless 應用程式的 SageMaker AI 執行角色。

1. 在 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是 ARN 的最後一部分，在最後一個正斜線 (/) 之後。

3. 請遵循您的角色連結。

4. 選擇新增許可，然後選擇建立內嵌政策。

5. 在 JSON 索引標籤中，新增內嵌政策，授予角色更新網域、使用者設定檔和空格的許可。如需SageMakerUpdateResourcesPolicy政策文件的詳細資訊，請參閱 中的網域、使用者設定檔和空間更新動作政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將 region和 accountID取代為實際值。

6. 選擇下一步，然後提供政策名稱。

7. 選擇 建立政策。

8. 重複建立內嵌政策步驟，以新增另一個政策，授予執行角色擔任 的許可，AssumableRole然後執行角色的存取政策所允許的動作。

   emr-account 將 取代為 Amazon EMR Serverless 帳戶 ID，並將 AssumableRole取代為在 Amazon EMR Serverless 帳戶中建立的可擔任角色名稱。

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

步驟 3：

將執行期角色清單與您的網域或使用者設定檔建立關聯，以便您以視覺化方式瀏覽角色清單，並選取從 JupyterLab 連線至 EMR Serverless 應用程式時要使用的清單。您可以使用 SageMaker AI 主控台或下列指令碼。之後，從筆記本建立的所有 Apache Spark 或 Apache Hive 任務只會存取連接到所選執行時間角色的政策所允許的資料和資源。