Configura la rilevabilità dei cluster Amazon EMR (per amministratori)

Questa sezione fornisce dettagli su come gli amministratori possono configurare la rilevabilità dei cluster Amazon EMR esistenti da Studio Classic. SageMaker I cluster possono essere distribuiti nello stesso AWS account di Studio Classic (scheda Account singolo) o in account separati (scheda Cross Accounts).

Single Account

Associa le seguenti autorizzazioni al ruolo di esecuzione di SageMaker Studio Classic che accede al cluster.

L'elenco seguente fornisce una suddivisione delle autorizzazioni richieste.

• AllowSagemakerProjectManagementconsente la creazione di SageMakerprogetti. In Studio Classic, l'accesso a AWS Service Catalog è concesso tramite Projects.

• AllowClusterDetailsDiscovery e AllowClusterDiscovery consentono il rilevamento e la connessione ai cluster Amazon EMR.

• AllowPresignedUrl consente la creazione di URL prefirmati per accedere all'interfaccia utente di Spark.

Di seguito è riportato un JSON completo che include queste autorizzazioni.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowPresignedUrl",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:DescribeCluster",
                "elasticmapreduce:ListInstanceGroups",
                "elasticmapreduce:CreatePersistentAppUI",
                "elasticmapreduce:DescribePersistentAppUI",
                "elasticmapreduce:GetPersistentAppUIPresignedURL",
                "elasticmapreduce:GetOnClusterAppUIPresignedURL"
            ],
            "Resource": [
                "arn:aws:elasticmapreduce:region:account-id:cluster/*"
            ]
        },
        {
            "Sid": "AllowClusterDetailsDiscovery",
            "Effect": "Allow",
            "Action": [
               "elasticmapreduce:DescribeCluster",
               "elasticmapreduce:ListInstances",
               "elasticmapreduce:ListInstanceGroups",
               "elasticmapreduce:DescribeSecurityConfiguration"
            ],
            "Resource": [
                "arn:aws:elasticmapreduce:region:account-id:cluster/*"
            ]
        },
        {
            "Sid": "AllowClusterDiscovery",
            "Effect": "Allow",
            "Action": [
                "elasticmapreduce:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowSagemakerProjectManagement",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreateProject",
                "sagemaker:DeleteProject"
            ],
            "Resource": "arn:aws:sagemaker:region:account-id:project/*"
        }
    ]
}

Cross Accounts

Se i cluster Amazon EMR e SageMaker Studio Classic sono distribuiti in AWS account separati, configuri le autorizzazioni in più passaggi.

• Sull'account attendibile (l'account in cui viene implementato Amazon EMR), crea un ruolo IAM personalizzato (indicato come ASSUMABLE-ROLE in questa pagina) con le seguenti autorizzazioni e relazioni di attendibilità.

  Per informazioni sulla creazione di un ruolo su un AWS account, consulta Creazione di un ruolo IAM (console).

  1. Aggiungi una policy che definisce le seguenti autorizzazioni:

     • AllowClusterDetailsDiscovery e AllowClusterDiscovery per consentire il rilevamento e la connessione ai cluster Amazon EMR.

     • AllowPresignedUrl per consentire la creazione di URL prefirmati per accedere all'interfaccia utente di Spark.

     Di seguito è riportato un JSON completo che include queste autorizzazioni.

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "AllowPresignedUrl",
                 "Effect": "Allow",
                 "Action": [
                     "elasticmapreduce:DescribeCluster",
                     "elasticmapreduce:ListInstanceGroups",
                     "elasticmapreduce:CreatePersistentAppUI",
                     "elasticmapreduce:DescribePersistentAppUI",
                     "elasticmapreduce:GetPersistentAppUIPresignedURL",
                     "elasticmapreduce:GetOnClusterAppUIPresignedURL"
                 ],
                 "Resource": [
                     "arn:aws:elasticmapreduce:emr-region:emr-account:cluster/*"
                 ]
             },
             {
                 "Sid": "AllowClusterDetailsDiscovery",
                 "Effect": "Allow",
                 "Action": [
                    "elasticmapreduce:DescribeCluster",
                    "elasticmapreduce:ListInstances",
                    "elasticmapreduce:ListInstanceGroups",
                    "elasticmapreduce:DescribeSecurityConfiguration"
                 ],
                 "Resource": [
                     "arn:aws:elasticmapreduce:emr-region:emr-account:cluster/*"
                 ]
             },
             {
                 "Sid": "AllowClusterDiscovery",
                 "Effect": "Allow",
                 "Action": [
                     "elasticmapreduce:ListClusters"
                 ],
                 "Resource": "*"
             }
         ]
     }

  2. Per concedere all'account affidabile (l'account in cui viene distribuito l'account di SageMaker Studio Classic) l'autorizzazione ad assumere un ruolo nell'account fiduciario, aggiungi la seguente relazione di fiducia.

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": "arn:aws:iam::studio-account:root"
           },
           "Action": "sts:AssumeRole"
         }
       ]
     }

• Sull'account affidabile (l'account in cui è distribuito SageMaker Studio Classic), aggiungi la seguente relazione di trust al ruolo di esecuzione di Studio Classic.

  {
    "Version": "2012-10-17",
    "Statement": [
    { 
              "Sid": "AllowRoleAssumptionForCrossAccountDiscovery", 
              "Effect": "Allow", 
              "Action": "sts:AssumeRole", 
              "Resource":  ["arn:aws:iam::emr-account:role/ASSUMABLE-ROLE" ]
    }]
  }             

• Infine, scopri Configurazione aggiuntiva per casi d'uso multi-account (per amministratori) come fornire l'ARN del ruolo di esecuzione ASSUMABLE-ROLE di Studio Classic. L'ARN viene caricato dal server Studio Classic Jupyter al momento del lancio. Il ruolo di esecuzione di Studio Classic presuppone il ruolo tra account diversi per rilevare e connettersi ai cluster Amazon EMR nell'account di fiducia.

Visita questa pagina Scopri i cluster Amazon EMR di Studio Classic SageMaker per scoprire e connettersi ai cluster Amazon EMR dai notebook Studio Classic.