設定許可，以啟用從 SageMaker Studio 列出和啟動 Amazon EMR 應用程式

步驟 1：擷取您在 Amazon S3 主控台中用於資料來源和輸出資料儲存的 Amazon S3 儲存貯體 ARN。

若要了解如何依名稱尋找儲存貯體，請參閱存取和列出 Amazon S3 儲存貯體。如需如何建立 Amazon S3 儲存貯體的相關資訊，請參閱建立儲存貯體。

步驟 2：在您的帳戶中為您的 EMR Serverless 應用程式建立至少一個任務執行時期執行角色 (上述單一帳戶使用案例圖表中的 EMRServerlessRuntimeExecutionRoleA)。選擇自訂信任政策作為信任的實體。新增任務所需的許可 您至少需要完整存取 Amazon S3 儲存貯體，並建立和讀取 AWS GlueData Catalog 的存取權。

如需如何為 EMR Serverless 應用程式建立新執行時期執行角色的詳細指示，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 新增執行時期角色所需的許可、為政策命名，然後選擇建立政策。

   您可以參考 EMR Serverless 的任務執行時期角色，以尋找 EMR Serverless 執行時期角色的範例執行時期政策。

4. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

5. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

6. 在自訂信任政策區段中貼入下列 JSON 文件，然後選擇下一步。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

7. 在許可頁面中，新增您建立的政策，然後選擇下一步。

8. 在檢閱頁面上，輸入角色名稱 (例如 EMRServerlessAppRuntimeRoleA) 和選用描述。

9. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

透過這些角色，您和團隊成員可以連線到同一個應用程式，每個應用程式都使用執行時期角色，其許可範圍將與您個別的資料存取層級相符。

步驟 3：擷取私有空間所使用的 SageMaker AI 執行角色 ARN。

如需 SageMaker AI 中空間和執行角色的相關資訊，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker AI 執行角色 ARN 的詳細資訊，請參閱 取得您的執行角色。

步驟 4：將下列許可連接至存取 EMR Serverless 應用程式的 SageMaker AI 執行角色。

1. 在 https://console.aws.amazon.com/sagemaker/ 開啟 IAM 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是 ARN 的最後一部分，在最後一個正斜線 (/) 之後。

3. 遵循角色的連結。

4. 選擇新增許可，然後選擇建立內嵌政策。

5. 在 JSON 索引標籤中，新增允許 EMR Serverless 存取和操作的 Amazon EMR Serverless 許可。如需政策文件的詳細資訊，請參閱 參考政策 中的 EMR Serverless 政策。將陳述式清單複製到您角色的內嵌政策之前，請將 region、accountID 和傳遞的 EMRServerlessAppRuntimeRole 取代為其實際值。

   注意

   您可以視需要在許可內包含任意數量的執行時間角色 ARN 字串，以逗號分隔。

6. 選擇下一步，然後提供政策名稱。

7. 選擇建立政策。

8. 重複建立內嵌政策步驟，以新增另一個內嵌政策，授予角色更新網域、使用者設定檔和空間的許可。如需 SageMakerUpdateResourcesPolicy 政策文件的詳細資訊，請參閱 參考政策 中的網域、使用者設定檔和空間更新動作政策。將陳述式清單複製到角色的內嵌政策之前，請將 region 和 accountID 取代為實際值。

步驟 5：

將執行時期角色清單與您的使用者設定檔或網域建立關聯，以便您以視覺化方式瀏覽角色清單，並選取從 JupyterLab 連線至 EMR Serverless 應用程式時要使用的角色。您可以使用 SageMaker AI 主控台或下列指令碼。接著，從筆記本建立的所有 Apache Spark 或 Apache Hive 任務，只會存取連接至所選執行時期角色的政策所允許的資料及資源。

步驟 1：在您的帳戶中為您的 EMR Serverless 應用程式建立至少一個任務執行時期執行角色 (上述跨帳戶圖表中的 EMRServerlessRuntimeExecutionRoleB)。選擇自訂信任政策作為信任的實體。新增任務所需的許可 您至少需要完整存取 Amazon S3 儲存貯體，並建立和讀取 AWS GlueData Catalog 的存取權。

如需如何為 EMR Serverless 應用程式建立新執行時期執行角色的詳細指示，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 新增執行時期角色所需的許可、為政策命名，然後選擇建立政策。

   如需 EMR Serverless 執行時期角色的範例執行時期政策，請參閱 Amazon EMR Serverless 的任務執行時期角色。

4. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

5. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

6. 在自訂信任政策區段中貼入下列 JSON 文件，然後選擇下一步。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "emr-serverless.amazonaws.com"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

7. 在許可頁面中，新增您建立的政策，然後選擇下一步。

8. 在檢閱頁面上，輸入角色名稱 (例如 EMRServerlessAppRuntimeRoleB) 和選用描述。

9. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

透過這些角色，您和團隊成員可以連線到同一個應用程式，每個應用程式都使用執行時期角色，其許可範圍將與您個別的資料存取層級相符。

步驟 2：使用下列組態建立名為 AssumableRole 的自訂 IAM 角色：

透過擔任該角色，Studio 可以暫時存取其在 EMR Serverless 帳戶中所需的許可。

如需如何在 EMR Serverless AssumableRole AWS帳戶中建立新 的詳細說明，請遵循下列步驟：

1. 導覽至 IAM 主控台。

2. 在左側導覽窗格中，選擇政策，然後選擇建立政策。

3. 在 JSON 索引標籤中，新增允許 EMR Serverless 存取和操作的 Amazon EMR Serverless 許可。如需政策文件的詳細資訊，請參閱 參考政策 中的 EMR Serverless 政策。將陳述式清單複製到您角色的內嵌政策之前，請將 region、accountID 和傳遞的 EMRServerlessAppRuntimeRole 取代為其實際值。

   注意

   這裡的 EMRServerlessAppRuntimeRole 是在步驟 1 中建立的任務執行時期執行角色 (上述跨帳戶圖表中的 EMRServerlessAppRuntimeRoleB)。您可以視需要在許可內包含任意數量的執行時間角色 ARN 字串，以逗號分隔。

4. 選擇下一步，然後提供政策名稱。

5. 選擇建立政策。

6. 在左側導覽窗格中，選擇角色，然後選擇建立角色。

7. 在建立角色頁面上，選擇自訂信任政策作為信任的實體。

8. 在自訂信任政策區段中貼入下列 JSON 文件，然後選擇下一步。

   將 studio-account 取代為 Studio 帳戶 ID，並將 AmazonSageMaker-ExecutionRole 取代為 JupyterLab 空間使用的執行角色。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::111122223333:role/service-role/AmazonSageMaker-ExecutionRole"
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   

9. 在新增許可頁面中，新增您在步驟 2 中建立的許可 EMRServerlessAppRuntimeRoleB，然後選擇下一步。

10. 在檢閱頁面上，輸入角色名稱 (例如 AssumableRole) 和選用描述。

11. 檢閱角色詳細資訊，並選擇 Create role (建立角色)。

如需在 AWS帳戶上建立角色的詳細資訊，請參閱建立 IAM 角色 （主控台）。

步驟 1：擷取您空間所使用的 SageMaker AI 執行角色 ARN。

如需 SageMaker AI 中空間和執行角色的相關資訊，請參閱 了解網域空間許可和執行角色。

如需如何擷取 SageMaker AI 執行角色 ARN 的詳細資訊，請參閱 取得您的執行角色。

步驟 2：將下列許可連接至存取 EMR Serverless 應用程式的 SageMaker AI 執行角色。

1. 在 https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

2. 選擇角色，然後在搜尋欄位中依名稱搜尋您的執行角色。角色名稱是 ARN 的最後一部分，在最後一個正斜線 (/) 之後。

3. 遵循角色的連結。

4. 選擇新增許可，然後選擇建立內嵌政策。

5. 在 JSON 索引標籤中，新增內嵌政策，授與角色更新網域、使用者設定檔和空間的許可。如需 SageMakerUpdateResourcesPolicy 政策文件的詳細資訊，請參閱 參考政策 中的網域、使用者設定檔和空間更新動作政策。將陳述式清單複製到您角色的內嵌政策之前，請將 region 和 accountID 取代為其實際值。

6. 選擇下一步，然後提供政策名稱。

7. 選擇建立政策。

8. 重複建立內嵌政策步驟，以新增另一個政策，授與執行角色擔任 AssumableRole 的許可，然後執行角色存取政策所允許的動作。

   將 emr-account 取代為 Amazon EMR Serverless 帳戶 ID，並將 AssumableRole 取代為 Amazon EMR Serverless 帳戶中建立的可擔任角色名稱。

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": {
           "Sid": "AllowSTSToAssumeAssumableRole",
           "Effect": "Allow",
           "Action": "sts:AssumeRole",
           "Resource": "arn:aws:iam::111122223333:role/AssumableRole"
       }
   }
   

步驟 3：

將執行時期角色清單與您的網域或使用者設定檔建立關聯，以便您以視覺化方式瀏覽角色清單，並選取從 JupyterLab 連線至 EMR Serverless 應用程式時要使用的角色。您可以使用 SageMaker AI 主控台或下列指令碼。接著，從筆記本建立的所有 Apache Spark 或 Apache Hive 任務，只會存取連接至所選執行時期角色的政策所允許的資料及資源。