Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configuración de roles de IAM

Requisitos previos

Antes de comenzar, asegúrese de que dispone de lo siguiente:

Configure las siguientes variables para usarlas en los siguientes comandos (my-staging-bucketsustitúyalas por el nombre del bucket):

ACCOUNT_ID=$(aws sts get-caller-identity --query Account --output text)
REGION=$(aws configure get region)
STAGING_BUCKET=my-staging-bucket

Paso 1: Crear el rol de IAM

El servidor MCP de SMUS utiliza su función de IAM para autorizar las operaciones a nivel de AWS servicio. No se requieren MCP-specific permisos independientes.

Para crear el rol de IAM (AWS CLI)

Paso 2: Adjunte los permisos para su modo de despliegue

Adjunte la política de permisos que coincida con su plataforma de implementación de EMR.

Opción A: EMR en EC2

También puede adjuntar la política AmazonElasticMapReduceFullAccessgestionada más una política de Amazon S3 a su depósito provisional.

Permisos de KMS: depósito provisional

Si el depósito provisional está cifrado con una CMK, añada la siguiente política. El servicio utilizará automáticamente la CMK configurada en el depósito al cargar los datos (<KEY_ID>sustitúyala por su ID de clave de KMS):

aws iam put-role-policy \
  --role-name SparkUpgradeMCPRole \
  --policy-name KMSStagingBucketEncrypt \
  --policy-document "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [{
      \"Effect\": \"Allow\",
      \"Action\": [\"kms:GenerateDataKey\", \"kms:Encrypt\"],
      \"Resource\": \"arn:aws:kms:${REGION}:${ACCOUNT_ID}:key/<KEY_ID>\"
    }]
  }"

Opción B: EMR sin servidor

Permisos de KMS: Staging Bucket

Si el depósito provisional está cifrado con una CMK, añada la siguiente política. El servicio utilizará automáticamente la CMK configurada en el depósito al cargar los datos (<KEY_ID>sustitúyala por su ID de clave de KMS):

aws iam put-role-policy \
  --role-name SparkUpgradeMCPRole \
  --policy-name KMSStagingBucketEncrypt \
  --policy-document "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [{
      \"Effect\": \"Allow\",
      \"Action\": [\"kms:GenerateDataKey\", \"kms:Encrypt\"],
      \"Resource\": \"arn:aws:kms:${REGION}:${ACCOUNT_ID}:key/<KEY_ID>\"
    }]
  }"

Permisos de KMS: registros CloudWatch

Si los CloudWatch registros están cifrados con una CMK, añada la siguiente política para que el servicio pueda leer los registros de las aplicaciones EMR Serverless (<KEY_ID>sustitúyalos por su ID de clave de KMS):

aws iam put-role-policy \
  --role-name SparkUpgradeMCPRole \
  --policy-name KMSCloudWatchLogsDecrypt \
  --policy-document "{
    \"Version\": \"2012-10-17\",
    \"Statement\": [{
      \"Effect\": \"Allow\",
      \"Action\": [\"kms:Decrypt\", \"kms:DescribeKey\"],
      \"Resource\": \"arn:aws:kms:${REGION}:${ACCOUNT_ID}:key/<KEY_ID>\"
    }]
  }"

Paso 3: Configure su cliente MCP

Configure su cliente MCP (por ejemplo, Claude Desktop o Amazon Q Developer) para que utilice el ARN de rol que creó:

echo "arn:aws:iam::${ACCOUNT_ID}:role/SparkUpgradeMCPRole"

Consulte la documentación de su cliente MCP para saber cómo configurar AWS las credenciales (normalmente mediante un AWS perfil que asume esta función).

Claves de condición para las solicitudes del servidor MCP

Se añaden automáticamente dos claves de condición a todas las solicitudes realizadas a través del servidor MCP de SMUS:

Puede utilizar estas claves de condición para controlar el acceso a sus recursos cuando las solicitudes se originan en un servidor MCP AWS gestionado.

Ejemplo: Permita las operaciones de EMR solo cuando se acceda a través del servidor MCP de SMUS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowEMRReadViaSMUSMCP",
      "Effect": "Allow",
      "Action": [
        "elasticmapreduce:DescribeCluster",
        "elasticmapreduce:ListClusters",
        "elasticmapreduce:ListSteps",
        "emr-serverless:GetJobRun",
        "emr-serverless:GetApplication"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:CalledViaAWSMCP": "sagemaker-unified-studio-mcp.amazonaws.com"
        }
      }
    }
  ]
}

Ejemplo: deniegue todas las operaciones a través de cualquier servidor MCP AWS administrado:

{
  "Effect": "Deny",
  "Action": "*",
  "Resource": "*",
  "Condition": {
    "Bool": {
      "aws:ViaAWSMCPService": "true"
    }
  }
}

Ejemplo: denegar operaciones específicas a través de un servidor MCP AWS administrado específico:

{
  "Effect": "Deny",
  "Action": ["glue:GetJobRun", "glue:StartJobRun"],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:CalledViaAWSMCP": "sagemaker-unified-studio-mcp.amazonaws.com"
    }
  }
}

Para obtener más información sobre las claves de condición, consulte las claves de contexto de condición AWS globales en la Guía del usuario de IAM.