Zusätzliche Konfiguration für kontoübergreifenden Zugriff

Anmerkung

Studio unterstützt derzeit nicht den Zugriff auf Amazon EMR-Cluster, die in einem anderen AWS Konto als dem Konto erstellt wurden, in dem Studio bereitgestellt wird. Kontenübergreifender Zugriff ist nur in Studio Classic verfügbar.

Um die kontenübergreifende Clustererkennung zu ermöglichen, müssen Administratoren der Ausführungsrolle für Studio Classic den ARN einer kontoübergreifenden IAM-Rolle zur Verfügung stellen. Die Ausführungsrolle von Studio Classic übernimmt diese Remote-Rolle, um Amazon EMR-Cluster im vertrauenswürdigen Konto zu erkennen und eine Verbindung zu ihnen herzustellen. Der ARN der Rolle wird beim Start vom Jupyter-Server geladen.

Sie können diese Informationen auf zwei Arten angeben.

• Schreiben Sie diese Remote-Rolle in eine Datei mit dem Namenemr-discovery-iam-role-arns-DO_NOT_DELETE.json, die sich in dem Verzeichnis .cross-account-configuration-DO_NOT_DELETE in Ihrem Home-Verzeichnis befindet, das sich auf dem von Studio Classic verwendeten Amazon EFS-Speichervolume befindet.

• Automatisieren Sie diesen Prozess mithilfe von Lifecycle Configuration (LCC) -Skripts. Sie können das LCC an Ihre Domain oder ein bestimmtes Benutzerprofil anhängen. Das von Ihnen verwendete LCC-Skript muss eine JupyterServer Konfiguration sein. Weitere Informationen zum Erstellen eines LCC-Skripts finden Sie unter Verwenden von Lebenszykluskonfigurationen mit Studio Classic.

Nachfolgend sehen Sie ein LCC-Beispielskript. Um das Skript zu ändern, ersetzen Sie ASSUMABLE-ROLE und emr-account durch den Namen Ihrer Rolle bzw. durch die ID Ihres Remote-Kontos. Die Anzahl der Cros-Accounts ist auf fünf begrenzt.

# This script creates the file that informs Studio Classic that the role "arn:aws:iam::emr-account:role/ASSUMABLE-ROLE" in remote account "emr-account" must be assumed to list and describe Amazon EMR clusters in the remote account.

#!/bin/bash

set -eux

FILE_DIRECTORY="/home/sagemaker-user/.cross-account-configuration-DO_NOT_DELETE"
FILE_NAME="emr-discovery-iam-role-arns-DO_NOT_DELETE.json"
FILE="$FILE_DIRECTORY/$FILE_NAME"

mkdir -p $FILE_DIRECTORY

cat > "$FILE" <<- "EOF"
{
  emr-cross-account1: "arn:aws:iam::emr-cross-account1:role/ASSUMABLE-ROLE",
  emr-cross-account2: "arn:aws:iam::emr-cross-account2:role/ASSUMABLE-ROLE"
}
EOF

Sobald der LCC läuft und die Dateien geschrieben werden, liest der Server die Datei /home/sagemaker-user/.cross-account-configuration-DO_NOT_DELETE/emr-discovery-iam-role-arns-DO_NOT_DELETE.json und speichert die kontoübergreifende ARN.