Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用运行时系统角色运行 EMR Studio Workspace

运行时角色是一个 Amazon Identity and Access Management（IAM）角色，您可以在向 Amazon EMR 集群提交作业或查询时指定该角色。您提交给 EMR 集群的任务或查询使用运行时系统角色访问 Amazon 资源，例如 Amazon S3 中的对象。

在将 EMR Studio Workspace 附加到使用 Amazon EMR 6.11 或更高版本的 EMR 集群时，您可以为提交的任务或查询选择运行时系统角色，供其在访问 Amazon 资源时使用。但是，如果 EMR 集群不支持运行时系统角色，则 EMR 集群在访问 Amazon 资源时不会代入该角色。

在将运行时系统角色用于 Amazon EMR Studio Workspace 之前，管理员必须配置用户权限，以便 Studio 用户对运行时系统角色调用 elasticmapreduce:GetClusterSessionCredentials API。然后，启动一个具有运行时系统角色的新集群，您可以将其与 Amazon EMR Studio Workspace 配合使用。

为运行时系统角色配置用户权限

配置用户权限，以便 Studio 用户可以针对自己要使用的运行时系统角色调用 elasticmapreduce:GetClusterSessionCredentials API。您还必须先配置 为 Amazon EC2 或 Amazon EKS 配置 EMR Studio 用户权限，用户才能开始使用 Studio。

{
      "Sid": "AllowSpecificExecRoleArn",
      "Effect": "Allow",
      "Action": [
          "elasticmapreduce:GetClusterSessionCredentials"
      ],
      "Resource": "*",
      "Condition": {
          "StringEquals": {
              "elasticmapreduce:ExecutionRoleArn": [
                  "arn:aws:iam::111122223333:role/test-emr-demo1",
                  "arn:aws:iam::111122223333:role/test-emr-demo2"
              ]
          }
      }
  }

以下示例演示如何允许 IAM 主体使用名为 test-emr-demo3 的 IAM 角色作为运行时系统角色。此外，策略持有人只能使用集群 ID j-123456789 访问 Amazon EMR 集群。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": [
          "arn:aws:elasticmapreduce:<region>:111122223333:cluster/j-123456789"
     ],
    "Condition":{
        "StringEquals":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo3"
            ]
        }
    }
}

以下示例允许 IAM 主体使用名称以字符串 test-emr-demo4 开头的任何 IAM 角色作为运行时系统角色。此外，策略持有人只能使用键值对 tagKey: tagValue 访问 Amazon EMR 集群。

{
    "Sid":"AllowSpecificExecRoleArn",
    "Effect":"Allow",
    "Action":[
        "elasticmapreduce:GetClusterSessionCredentials"
    ],
    "Resource": "*",
    "Condition":{
        "StringEquals":{
             "elasticmapreduce:ResourceTag/tagKey": "tagValue"
        },
        "StringLike":{
            "elasticmapreduce:ExecutionRoleArn":[
                "arn:aws:iam::111122223333:role/test-emr-demo4*"
            ]
        }
    }
}

使用运行时系统角色启动新集群

现在有了所需权限，启动一个具有运行时系统角色的新集群，您可以将其与 Amazon EMR Studio Workspace 配合使用。

如果已经启动具有运行时系统角色的新集群，则可跳至 在 Workspace 中使用具有运行时系统角色的 EMR 集群 小节。

启动集群后，即可在 EMR Studio Workspace 中使用启用了运行时系统角色的集群。

在 Workspace 中使用具有运行时系统角色的 EMR 集群

设置并启动集群后，即可将启用了运行时系统角色的集群与 EMR Studio Workspace 配合使用。

注意事项

在 Amazon EMR Studio Workspace 中使用支持运行时系统角色的集群时，请记住以下注意事项：