設定許可，以啟用從 SageMaker Studio 列出和啟動 Amazon EMR 應用程式

步驟 1：擷取您在 Amazon S3 主控台 中用於資料來源和輸出資料儲存ARN的 Amazon S3 儲存貯體的 。

若要了解如何依名稱尋找儲存貯體，請參閱存取和列出 Amazon S3 儲存貯體。如需如何建立 Amazon S3 儲存貯體的資訊，請參閱建立儲存貯體 。

步驟 2：在您的帳戶中為無EMR伺服器應用程式建立至少一個任務執行期執行角色 （上述單一帳戶使用案例圖表EMRServerlessRuntimeExecutionRoleA中的 ）。選擇自訂信任政策作為信任的實體。新增任務所需的許可。您至少需要完整存取 Amazon S3 儲存貯體，並建立和讀取 AWS Glue Data Catalog 的存取權。

如需如何為無EMR伺服器應用程式建立新的執行期執行角色的詳細說明，請依照下列步驟執行：

1. 導覽至 IAM主控台。

2. 在左側導覽窗格中，選擇政策 ，然後選擇建立政策 。

3. 新增執行時間角色所需的許可、為政策命名，然後選擇建立政策 。

   您可以參考 EMR Serverless 的任務執行期角色，尋找 EMR Serverless 執行期角色的範例執行期政策。

4. 在左側導覽窗格中，選擇角色，然後選擇建立角色 。

5. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

6. 在自訂信任政策區段中貼上下列JSON文件，然後選擇下一個 。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在新增許可頁面中，新增您建立的政策，然後選擇下一步。

8. 在檢閱頁面上，輸入角色的名稱，例如 EMRServerlessAppRuntimeRoleA和選用描述。

9. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

透過這些角色，您和您的團隊成員可以連線到相同的應用程式，每個應用程式都使用執行期角色，其範圍涵蓋符合個別資料存取層級的許可。

步驟 3：擷取私有空間使用的執行角色ARN的 SageMaker 。

如需 中空間和執行角色的相關資訊 SageMaker，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker執行角色ARN的 的詳細資訊，請參閱 取得您的執行角色。

步驟 4：將下列許可連接至存取 EMR Serverless 應用程式的 SageMaker 執行角色。

1. 開啟位於 IAM 的 https://console.aws.amazon.com/sagemaker/ 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是在最後一個正斜線 （/） ARN之後 的最後一個部分。

3. 請遵循您的角色連結。

4. 選擇新增許可，然後選擇建立內嵌政策 。

5. 在 JSON索引標籤中，新增允許無EMR伺服器存取和操作的 Amazon EMR Serverless 許可。如需政策文件的詳細資訊，請參閱 中的EMR無伺服器政策參考政策。取代 region, accountID、 和 通過 EMRServerlessAppRuntimeRole（s） 及其實際值，再將陳述式清單複製到角色的內嵌政策。

   注意

   您可以在許可中視需要包含任意數目的執行期角色ARN字串，以逗號分隔。

6. 選擇下一步，然後提供政策名稱 。

7. 選擇 建立政策。

8. 重複建立內嵌政策步驟，以新增另一個內嵌政策，授予角色更新網域、使用者設定檔和空格的許可。如需SageMakerUpdateResourcesPolicy政策文件的詳細資訊，請參閱 中的網域、使用者設定檔和空間更新動作政策參考政策。取代 region 以及 accountID 在將陳述式清單複製到角色的內嵌政策之前，使用其實際值。

步驟 5：

將執行期角色清單與使用者設定檔或網域建立關聯，以便您可以視覺化地瀏覽角色清單，並選取從 連線至無EMR伺服器應用程式時要使用的清單 JupyterLab。您可以使用 SageMaker 主控台或下列指令碼。隨後，從筆記本建立的所有 Apache Spark 或 Apache Hive 任務只會存取連接到所選執行期角色的政策所允許的資料和資源。

步驟 1：在您的帳戶中為無EMR伺服器應用程式建立至少一個任務執行期執行角色 （在上述跨帳戶圖表EMRServerlessRuntimeExecutionRoleB中的 ）。選擇自訂信任政策作為信任的實體。新增任務所需的許可。您至少需要完整存取 Amazon S3 儲存貯體，並建立和讀取 AWS Glue Data Catalog 的存取權。

如需如何為無EMR伺服器應用程式建立新的執行階段執行角色的詳細說明，請依照下列步驟執行：

1. 導覽至 IAM主控台。

2. 在左側導覽窗格中，選擇政策 ，然後選擇建立政策 。

3. 新增執行期角色所需的許可、為政策命名，然後選擇建立政策 。

   如需 EMR Serverless 執行期角色的範例執行期政策，請參閱 Amazon EMR Serverless 的任務執行期角色。

4. 在左側導覽窗格中，選擇角色，然後選擇建立角色 。

5. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

6. 在自訂信任政策區段中貼上下列JSON文件，然後選擇下一個 。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

7. 在新增許可頁面中，新增您建立的政策，然後選擇下一步。

8. 在檢閱頁面上，輸入角色的名稱，例如 EMRServerlessAppRuntimeRoleB和選用描述。

9. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

透過這些角色，您和您的團隊成員可以連線至相同的應用程式，每個應用程式都使用執行期角色，其範圍涵蓋符合個別資料存取層級的許可。

步驟 2：使用下列組態建立名為 AssumableRole的自訂IAM角色：

透過擔任 角色，Studio 可以暫時存取其在 EMR Serverless 帳戶中所需的許可。

如需如何在 EMR Serverless AssumableRole AWS 帳戶中建立新 的詳細說明，請遵循下列步驟：

1. 導覽至 IAM主控台。

2. 在左側導覽窗格中，選擇政策 ，然後選擇建立政策 。

3. 在 JSON索引標籤中，新增允許無EMR伺服器存取和操作的 Amazon EMR Serverless 許可。如需政策文件的詳細資訊，請參閱 中的EMR無伺服器政策參考政策。將陳述式清單複製到角色的內嵌政策之前accountID，請將 region、 和傳遞的 EMRServerlessAppRuntimeRole（） 取代為實際值。

   注意

   EMRServerlessAppRuntimeRole 以下是在步驟 1 中建立的任務執行期執行角色 （在上述跨帳戶圖表EMRServerlessAppRuntimeRoleB中的 ）。您可以在許可中視需要包含任意數目的執行期角色ARN字串，以逗號分隔。

4. 選擇下一步，然後提供政策名稱 。

5. 選擇 建立政策。

6. 在左側導覽窗格中，選擇角色，然後選擇建立角色 。

7. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

8. 在自訂信任政策區段中貼上下列JSON文件，然後選擇下一個 。

   studio-account 將 取代為 Studio 帳戶 ID，並將 AmazonSageMaker-ExecutionRole取代為 JupyterLab 空間使用的執行角色。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

9. 在新增許可頁面中，新增EMRServerlessAppRuntimeRoleB您在步驟 2 中建立的許可，然後選擇下一步。

10. 在檢閱頁面上，輸入角色的名稱，例如 AssumableRole和選用描述。

11. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

如需在 AWS 帳戶上建立角色的詳細資訊，請參閱建立IAM角色 （主控台）。

步驟 1：擷取空間使用的 SageMaker 執行角色ARN的 。

如需 中空間和執行角色的資訊 SageMaker，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker執行角色ARN的 的詳細資訊，請參閱 取得您的執行角色。

步驟 2：將下列許可連接至存取 EMR Serverless 應用程式的 SageMaker 執行角色。

1. 開啟位於 IAM 的 https://console.aws.amazon.com/iam/ 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是在最後一個正斜線 （/） ARN之後 的最後一個部分。

3. 請遵循您的角色連結。

4. 選擇新增許可，然後選擇建立內嵌政策 。

5. 在 JSON索引標籤中，新增內嵌政策，授予角色許可以更新網域、使用者設定檔和空格。如需SageMakerUpdateResourcesPolicy政策文件的詳細資訊，請參閱 中的網域、使用者設定檔和空間更新動作政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將 region和 accountID取代為實際值。

6. 選擇下一步，然後提供政策名稱 。

7. 選擇 建立政策。

8. 重複建立內嵌政策步驟，以新增另一個政策，授予執行角色擔任 的許可，AssumableRole然後執行角色的存取政策所允許的動作。

   emr-account 將 取代為 Amazon EMR Serverless 帳戶 ID，並將 AssumableRole取代為在 Amazon EMR Serverless 帳戶中建立的假設角色名稱。

   {
       "Version": "2012-10-17",
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::emr-account:role/AssumableRole"
       }
   }

步驟 3：

將執行期角色清單與您的網域或使用者設定檔建立關聯，以便您以視覺化方式瀏覽角色清單，並選取從 連線至無EMR伺服器應用程式時要使用的清單 JupyterLab。您可以使用 SageMaker 主控台或下列指令碼。隨後，從筆記本建立的所有 Apache Spark 或 Apache Hive 任務只會存取連接到所選執行期角色的政策所允許的資料和資源。