在 Service Catalog 中設定 Amazon EMR CloudFormation 範本

步驟 1：擷取私有空間所使用的 SageMaker AI 執行角色 ARN。

如需 SageMaker AI 中空間和執行角色的資訊，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker AI 執行角色 ARN 的詳細資訊，請參閱 取得您的執行角色。

步驟 2：將下列許可連接到存取 Amazon EMR 叢集的 SageMaker AI 執行角色。

1. 導覽至 IAM 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是 ARN 的最後一部分，在最後一個正斜線 (/) 之後。

3. 遵循您的角色連結。

4. 選擇新增許可，然後選擇建立內嵌政策。

5. 在 JSON 索引標籤中，新增允許 Amazon EMR 存取和操作的 Amazon EMR 許可。如需政策文件的詳細資訊，請參閱在 中列出 Amazon EMR 政策參考政策。將陳述式清單複製到角色的內嵌政策之前region，請將 、 和 accountID取代為實際值。

6. 選擇下一步，然後提供政策名稱。

7. 選擇 建立政策。

8. 重複建立內嵌政策步驟，以新增另一個政策，授予執行角色使用 AWS CloudFormation 範本佈建新 Amazon EMR 叢集的許可。如需政策文件的詳細資訊，請參閱在 中建立 Amazon EMRclusters 政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將 region和 accountID取代為實際值。

步驟 1：擷取 Amazon EMR 叢集服務角色的 ARN。

若要了解如何尋找叢集之服務角色的 ARN，請參閱設定 Amazon EMR 許可的 IAM 服務角色以存取 AWS 服務和資源。

步驟 2：使用下列組態建立名為 AssumableRole的自訂 IAM 角色：

透過擔任角色，Studio 或 Studio Classic 可以暫時存取 Amazon EMR 中所需的許可。

如需如何在 AssumableRole Amazon EMR AWS 帳戶中建立新 的詳細說明，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 在 JSON 索引標籤中，新增允許 Amazon EMR 存取和操作的 Amazon EMR 許可。如需政策文件的詳細資訊，請參閱在 中列出 Amazon EMR 政策參考政策。將陳述式清單複製到角色的內嵌政策之前region，請將 、 和 accountID取代為實際值。

4. 選擇下一步，然後提供政策名稱。

5. 選擇 建立政策。

6. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

7. 在建立角色頁面上，選擇自訂信任政策做為信任的實體。

8. 在自訂信任政策區段中貼上下列 JSON 文件，然後選擇下一步。

   For users of Studio and JupyterLab

   studio-account 將 取代為 Studio 帳戶 ID，並將 AmazonSageMaker-ExecutionRole取代為 JupyterLab 空間使用的執行角色。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::studio-account:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }

   For users of Studio Classic

   studio-account 將 取代為 Studio Classic 帳戶 ID。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": "arn:aws:iam::studio-account:root"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

9. 在新增許可頁面中，新增您剛建立的許可，然後選擇下一步。

10. 在檢閱頁面上，輸入角色的名稱，例如 AssumableRole和選用的描述。

11. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

如需在 AWS 帳戶上建立角色的詳細資訊，請參閱建立 IAM 角色 （主控台）。

步驟 1：擷取私有空間所使用的 SageMaker AI 執行角色 ARN。

如需 SageMaker AI 中空間和執行角色的資訊，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker AI 執行角色 ARN 的詳細資訊，請參閱 取得您的執行角色。

步驟 2：將下列許可連接到存取 Amazon EMR 叢集的 SageMaker AI 執行角色。

1. 導覽至 IAM 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是 ARN 的最後一部分，在最後一個正斜線 (/) 之後。

3. 遵循您的角色連結。

4. 選擇新增許可，然後選擇建立內嵌政策。

5. 在 JSON 索引標籤中，新增內嵌政策，授予角色更新網域、使用者設定檔和空格的許可。如需政策文件的詳細資訊，請參閱 中的網域、使用者設定檔和空間更新動作政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將 region和 accountID取代為實際值。

6. 選擇下一步，然後提供政策名稱。

7. 選擇 建立政策。

8. 重複建立內嵌政策步驟，以新增另一個政策，授予執行角色擔任 的許可，AssumableRole然後執行角色的存取政策所允許的動作。emr-account 將 取代為 Amazon EMR 帳戶 ID，並將 AssumableRole取代為在 Amazon EMR 帳戶中建立的假設角色名稱。

   {
     "Version": "2012-10-17",
     "Statement": [
     { 
               "Sid": "AllowRoleAssumptionForCrossAccountDiscovery", 
               "Effect": "Allow", 
               "Action": "sts:AssumeRole", 
               "Resource":  ["arn:aws:iam::emr-account:role/AssumableRole" ]
     }]
   }

9. 重複建立內嵌政策步驟，以新增另一個政策，授予執行角色使用 AWS CloudFormation 範本佈建新 Amazon EMR 叢集的許可。如需政策文件的詳細資訊，請參閱在 中建立 Amazon EMRclusters 政策參考政策。將陳述式清單複製到角色的內嵌政策之前，請將 region和 accountID取代為實際值。

10. （選用） 若要允許列出部署在與 Studio 相同帳戶中的 Amazon EMR 叢集，請將額外的內嵌政策新增至 Studio 執行角色，如 中的列出 Amazon EMR 政策所定義參考政策。

步驟 3：將 （可） 擔任的角色 （存取角色） 與您的網域或使用者設定檔建立關聯。Studio 中的 JupyterLab 使用者可以使用 SageMaker AI 主控台或提供的指令碼。

選擇與您的使用案例對應的索引標籤。