在 Studio 中設定 Amazon EMR 叢集存取的 IAM 執行期角色

若要使用 SageMaker AI 主控台將執行期角色與使用者設定檔或網域建立關聯：

當您下次連線至 Amazon EMR 伺服器時，執行時間角色應該會出現在下拉式功能表中以供選取。

在 JupyterLab 應用程式中，使用您更新許可的 SageMaker AI 執行角色從空間啟動，請在終端機中執行下列命令。將 domainID、emr-accountID、 user-profile-name和 取代EMRServiceRole為適當的值。此程式碼片段會更新跨帳戶使用案例中 SageMaker AI 網域中的使用者設定檔設定 (client.update_user_profile)。具體而言，它會設定 Amazon EMR 的服務角色。它還允許 JupyterLab 應用程式擔任在 Amazon EMR 帳戶中執行 Amazon EMR 的特定 IAM 角色 (AssumableRole 或 AccessRole)。

或者，如果您的空間使用在網域層級設定的執行角色，請使用 client.update_domain 來更新網域設定。

import botocore.session
import json
sess = botocore.session.get_session()
client = sess.create_client('sagemaker')

client.update_user_profile(
DomainId="domainID", 
UserProfileName="user-profile-name",
UserSettings={
    'JupyterLabAppSettings': {
        'EmrSettings': {
            'AssumableRoleArns': ["arn:aws:iam::emr-accountID:role/AssumableRole"],
            'ExecutionRoleArns': ["arn:aws:iam::emr-accountID:role/EMRServiceRole", 
                             "arn:aws:iam::emr-accountID:role/AnotherServiceRole"]
        }
        
    }
})
resp = client.describe_user_profile(DomainId="domainID", UserProfileName=user-profile-name")

resp['CreationTime'] = str(resp['CreationTime'])
resp['LastModifiedTime'] = str(resp['LastModifiedTime'])
print(json.dumps(resp, indent=2))

將 AccessRole(AssumableRole) 的 ARN 提供給您的 SageMaker AI 執行角色。ARN 會在啟動時由 Jupyter 伺服器載入。Studio 使用的執行角色會擔任跨帳戶角色，以探索和連線至信任帳戶中的 Amazon EMR 叢集。

您可以使用生命週期組態 (LCC) 指令碼來指定此資訊。您可以將 LCC 連接至您的網域或特定使用者設定檔。您使用的 LCC 指令碼必須是 JupyterServer 組態。如需如何建立 LCC 指令碼的詳細資訊，請參閱搭配 Studio Classic 使用生命週期組態。

下列為範例 LCC 指令碼。若要修改指令碼，請將 AssumableRole和 取代emr-account為各自的值。跨帳戶的數量限制為 5 個。

如果您的 Studio Classic 應用程式和叢集位於相同的帳戶中，則可以套用以下程式碼片段的範例 LCC bash 指令碼：

#!/bin/bash

set -eux

FILE_DIRECTORY="/home/sagemaker-user/.sagemaker-analytics-configuration-DO_NOT_DELETE"
FILE_NAME="emr-configurations-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat << 'EOF' > "$FILE"
{
    "emr-execution-role-arns":
    {
      "123456789012": [
          "arn:aws:iam::123456789012:role/emr-execution-role-1",
          "arn:aws:iam::123456789012:role/emr-execution-role-2"
      ]
    }
}
EOF

如果您的 Studio Classic 應用程式和叢集位於不同的帳戶中，請指定可以使用叢集的 Amazon EMR 存取角色。在下列範例政策中，123456789012 是 Amazon EMR 叢集帳戶 ID，212121212121 和 434343434343 是允許 Amazon EMR 存取角色ARNs。

#!/bin/bash

set -eux

FILE_DIRECTORY="/home/sagemaker-user/.sagemaker-analytics-configuration-DO_NOT_DELETE"
FILE_NAME="emr-configurations-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat << 'EOF' > "$FILE"
{
    "emr-execution-role-arns":
    {
      "123456789012": [
          "arn:aws:iam::212121212121:role/emr-execution-role-1",
          "arn:aws:iam::434343434343:role/emr-execution-role-2"
      ]
    }
}
EOF

# add your cross-account EMR access role
FILE_DIRECTORY="/home/sagemaker-user/.cross-account-configuration-DO_NOT_DELETE"
FILE_NAME="emr-discovery-iam-role-arns-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat << 'EOF' > "$FILE"
{
    "123456789012": "arn:aws:iam::123456789012:role/cross-account-emr-access-role"
}
EOF