View a markdown version of this page

Verwenden von Rollen für AWS Batch mit SageMaker AI - AWS Batch
Service-linked Rollenberechtigungen für AWS BatchErstellen einer serviceverknüpften Rolle für AWS BatchBearbeiten einer serviceverknüpften Rolle für AWS BatchLöschen einer serviceverknüpften Rolle für AWS BatchUnterstützte Regionen für AWS Batch Serviceverknüpfte Rollen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden von Rollen für AWS Batch mit SageMaker AI

AWS Batch Verwendungszwecke AWS Identity and Access Management (ICH BIN) dienstgebundene Rollen. Eine serviceverknüpfte Rolle ist ein einzigartiger IAM-Rollentyp, der direkt mit verknüpft ist AWS Batch. Service-linked Rollen sind vordefiniert durch AWS Batch und schließen alle Berechtigungen ein, die der Dienst benötigt, um andere aufzurufen AWS Dienste in Ihrem Namen.

Eine dienstbezogene Rolle macht die Einrichtung AWS Batch einfacher, da Sie die erforderlichen Berechtigungen nicht manuell hinzufügen müssen. AWS Batch definiert die Berechtigungen seiner dienstverknüpften Rollen, und sofern nicht anders definiert, nur AWS Batch kann seine Rollen übernehmen. Die definierten Berechtigungen umfassen die Vertrauens- und Berechtigungsrichtlinie. Diese Berechtigungsrichtlinie kann keinen anderen IAM-Entitäten zugewiesen werden.

Sie können eine serviceverknüpfte Rolle erst löschen, nachdem ihre verwandten Ressourcen gelöscht wurden. Das schützt Ihre AWS Batch Ressourcen, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entziehen können.

Informationen zu anderen Diensten, die dienstgebundene Rollen unterstützen, finden Sie unter AWS Dienste, die mit IAM funktionieren und suchen Sie nach den Diensten, die Ja in der Service-linked Rollen Spalte. Wählen Sie über einen Link Ja aus, um die Dokumentation zu einer serviceverknüpften Rolle für diesen Service anzuzeigen.

Service-linked Rollenberechtigungen für AWS Batch

AWS Batch verwendet die dienstverknüpfte Rolle mit dem Namen AWSServiceRoleForAWSBatchWithSagemaker — Ermöglicht AWS Batch in die Warteschlange stellen und verwalten SageMaker Ausbildungsjobs in Ihrem Namen.

Die AWSServiceRoleForAWSBatchWithSagemaker Die dienstgebundene Rolle vertraut darauf, dass die folgenden Dienste die Rolle übernehmen:

  • sagemaker-queuing.batch.amazonaws.com

Die Richtlinie für Rollenberechtigungen ermöglicht AWS Batch um die folgenden Aktionen für die angegebenen Ressourcen durchzuführen:

  • sagemaker — Erlaubt AWS Batch zu verwalten SageMaker Arbeitsplätze ausbilden, Arbeitsplätze verändern und vieles mehr SageMaker KI-Ressourcen.

  • iam:PassRole — Erlaubt AWS Batch um vom Kunden definierte Ausführungsrollen zu übergeben an SageMaker KI für die Ausführung von Aufträgen. Die Ressourcenbeschränkung ermöglicht die Übergabe von Rollen an SageMaker KI-Dienste.

Sie müssen Berechtigungen konfigurieren, damit eine Benutzer, Gruppen oder Rollen eine serviceverknüpfte Rolle erstellen, bearbeiten oder löschen können. Weitere Informationen finden Sie unter Service-linked Rollenberechtigungen in der IAM-Benutzerhandbuch.

Erstellen einer serviceverknüpften Rolle für AWS Batch

Sie müssen eine serviceverknüpfte Rolle nicht manuell erstellen. Wenn Sie eine Serviceumgebung erstellen mit CreateServiceEnvironment in der AWS-Managementkonsole, der AWS CLI, oder der AWS API, AWS Batch erstellt die serviceverknüpfte Rolle für Sie.

Wenn Sie diese serviceverknüpfte Rolle löschen und sie dann erneut erstellen müssen, können Sie dasselbe Verfahren anwenden, um die Rolle in Ihrem Konto neu anzulegen. Wenn Sie eine Dienstumgebung erstellen mit CreateServiceEnvironment, AWS Batch erstellt die dienstverknüpfte Rolle erneut für Sie.

Informationen zum Anzeigen der JSON-Datei für die Richtlinie finden Sie unter AWSBatchServiceRolePolicyForSageMaker in der AWS Referenzhandbuch für verwaltete Richtlinien.

Bearbeiten einer serviceverknüpften Rolle für AWS Batch

AWS Batch erlaubt Ihnen nicht, das zu bearbeiten AWSServiceRoleForAWSBatchWithSagemaker dienstgebundene Rolle. Da möglicherweise verschiedene Entitäten auf die Rolle verweisen, kann der Rollenname nach dem Erstellen einer serviceverknüpften Rolle nicht mehr geändert werden. Sie können jedoch die Beschreibung der Rolle mit IAM bearbeiten. Weitere Informationen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen einer serviceverknüpften Rolle für AWS Batch

Wenn Sie ein Feature oder einen Service, die bzw. der eine serviceverknüpfte Rolle erfordert, nicht mehr benötigen, sollten Sie diese Rolle löschen. Auf diese Weise haben Sie keine ungenutzte Entität, die nicht aktiv überwacht oder verwaltet wird. Sie müssen jedoch Ihre serviceverknüpfte Rolle zunächst bereinigen, bevor Sie sie manuell löschen können.

Bereinigen einer serviceverknüpften Rolle

Bevor Sie IAM verwenden können, um eine dienstverknüpfte Rolle zu löschen, müssen Sie zunächst bestätigen, dass die Rolle keine aktiven Sitzungen hat, und alle Dienstumgebungen löschen, die die Rolle insgesamt verwenden AWS Regionen in einer einzigen Partition.

So überprüfen Sie, ob die serviceverknüpfte Rolle über eine aktive Sitzung verfügt

  1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

  2. Wählen Sie im Navigationsbereich Rollen und dann die AWSServiceRoleForAWSBatchWithSagemaker Name (nicht das Kontrollkästchen).

  3. Wählen Sie auf der Seite Summary Access Advisor und überprüfen Sie die letzten Aktivitäten auf die serviceverknüpfte Rolle.

    Anmerkung

    Wenn Sie nicht wissen, ob AWS Batch benutzt die AWSServiceRoleForAWSBatchWithSagemaker Rolle, Sie können versuchen, die Rolle zu löschen. Wenn der Dienst die Rolle verwendet, kann die Rolle nicht gelöscht werden. Sie können die Regionen anzeigen, in denen die Rolle verwendet wird. Wenn die Rolle verwendet wird, müssen Sie warten, bis die Sitzung beendet wird, bevor Sie die Rolle löschen können. Die Sitzung für eine serviceverknüpfte Rolle können Sie nicht widerrufen.

Um zu entfernen AWS Batch Ressourcen, die von der verwendet werden AWSServiceRoleForAWSBatchWithSagemaker dienstgebundene Rolle

Sie müssen alle Jobwarteschlangen von allen Serviceumgebungen trennen, dann müssen Sie alle Dienstumgebungen löschen, die AWSServiceRoleForAWSBatchWithSagemaker Rolle in allen AWS Regionen, bevor Sie die löschen können AWSServiceRoleForAWSBatchWithSagemaker Rolle.

  1. Öffne die AWS Batch Konsole unter https://console.aws.amazon.com/batch/.

  2. Wählen Sie die zu verwendende Region in der Navigationsleiste aus.

  3. Wählen Sie im Navigationsbereich Umgebungen, und dann Serviceumgebungen.

  4. Alles auswählen Serviceumgebungen.

  5. Wählen Sie Disable (deaktivieren) aus. Warte auf den Staat zu wechseln DEAKTIVIERT.

  6. Wählen Sie die Serviceumgebung aus.

  7. Wählen Sie Löschen aus. Bestätigen Sie, dass Sie die Dienstumgebung löschen möchten, indem Sie Löschen Sie die Dienstumgebung.

  8. Wiederholen Sie die Schritte 1—7 für alle Serviceumgebungen, die die dienstgebundene Rolle in allen Regionen verwenden.

Löschen einer serviceverknüpften Rolle in IAM (Konsole)

Sie können die IAM-Konsole für das Löschen einer serviceverknüpften Rolle verwenden.

So löschen Sie eine serviceverknüpfte Rolle (Konsole)

  1. Melden Sie sich bei AWS-Managementkonsole und öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

  2. Wählen Sie im Navigationsbereich der IAM Console Roles (Rollen) aus. Wählen Sie dann das Kontrollkästchen neben AWSServiceRoleForAWSBatchWithSagemaker, nicht der Name oder die Zeile selbst.

  3. Wählen Sie Delete role (Rolle löschen) aus.

  4. Überprüfen Sie im Bestätigungsdialogfeld die letzten Service-Zugriffsdaten, die zeigen, wann jede der ausgewählten Rollen zuletzt auf einen AWS-Service zugegriffen hat. Auf diese Weise können Sie leichter bestätigen, ob die Rolle derzeit aktiv ist. Wenn Sie fortfahren möchten, wählen Sie Yes, Delete aus, um die serviceverknüpfte Rolle zur Löschung zu übermitteln.

  5. Sehen Sie sich die Benachrichtigungen in der IAM-Konsole an, um den Fortschritt der Löschung der serviceverknüpften Rolle zu überwachen. Da die Löschung der serviceverknüpften IAM-Rolle asynchron erfolgt, kann die Löschung nach dem Übermitteln der Rolle für die Löschung erfolgreich sein oder fehlschlagen.

    • Wenn der Vorgang erfolgreich ist, wird die Rolle aus der Liste entfernt und eine Benachrichtigung des Erfolgs oben auf der Seite angezeigt.

    • Wenn der Vorgang fehlschlägt, können Sie in den Benachrichtigungen View details oder View Resources auswählen, um zu erfahren, warum die Löschung fehlgeschlagen ist. Wenn die Löschung fehlschlägt, weil die Rolle Ressourcen des Services verwendet, enthält die Benachrichtigung eine Liste der Ressourcen – sofern der Service diese Informationen zurückgibt. Sie können dann die Ressourcen bereinigen und die Löschung erneut durchführen.

      Anmerkung

      Möglicherweise müssen Sie diesen Vorgang abhängig von den Informationen, die der Service zurückgibt, mehrmals wiederholen. Ihre serviceverknüpfte Rolle könnte beispielsweise sechs Ressourcen verwenden und Ihr Service Informationen zu fünf davon zurückgeben. Wenn Sie die fünf Ressourcen bereinigen und die Rolle erneut für den Löschvorgang übermitteln, schlägt die Löschung fehl und der Service gibt die eine verbleibende Ressource zurück. Ein Service kann alle Ressourcen zurückgeben oder nur einige bzw. gar keine.

    • Wenn die Aufgabe fehlschlägt und die Benachrichtigung keine Liste der Ressourcen enthält, gibt der Service möglicherweise diese Informationen nicht zurück. Informationen zum Bereinigen von Ressourcen für diesen Service finden Sie unter AWS-Services , die mit IAM funktionieren. Um die Dokumentation der serviceverknüpften Rolle für den Service anzuzeigen, suchen Sie Ihren Service in der Tabelle und wählen Sie den Link Yes.

Löschen einer dienstverknüpften Rolle in IAM (AWS CLI)

Sie können IAM-Befehle aus dem AWS Command Line Interface um eine dienstverknüpfte Rolle zu löschen.

So löschen Sie eine serviceverknüpfte Rolle (CLI)

  1. Da eine serviceverknüpfte Rolle nicht gelöscht werden kann, wenn sie verwendet wird oder ihr Ressourcen zugeordnet sind, müssen Sie eine Löschungsanforderung übermitteln. Diese Anforderung kann verweigert werden, wenn diese Bedingungen nicht erfüllt sind. Sie benötigen die deletion-task-id aus der Antwort, um den Status der Löschaufgabe zu überprüfen. Geben Sie den folgenden Befehl ein, um eine Löschanforderung für eine serviceverknüpfte Rolle zu übermitteln:

    $ aws iam delete-service-linked-role --role-name AWSServiceRoleForAWSBatchWithSagemaker

  2. Verwenden Sie den folgenden Befehl, um den Status der Löschaufgabe zu überprüfen:

    $ aws iam get-service-linked-role-deletion-status --deletion-task-id deletion-task-id

    Der Status der Löschaufgabe kann NOT_STARTED, IN_PROGRESS, SUCCEEDED oder FAILED lauten. Wenn die Löschung fehlschlägt, gibt der Aufruf den Grund zurück, sodass Sie das Problem beheben können. Wenn die Löschung fehlschlägt, weil die Rolle Ressourcen des Services verwendet, enthält die Benachrichtigung eine Liste der Ressourcen – sofern der Service diese Informationen zurückgibt. Sie können dann die Ressourcen bereinigen und die Löschung erneut durchführen.

    Anmerkung

    Möglicherweise müssen Sie diesen Vorgang abhängig von den Informationen, die der Service zurückgibt, mehrmals wiederholen. Ihre serviceverknüpfte Rolle könnte beispielsweise sechs Ressourcen verwenden und Ihr Service Informationen zu fünf davon zurückgeben. Wenn Sie die fünf Ressourcen bereinigen und die Rolle erneut für den Löschvorgang übermitteln, schlägt die Löschung fehl und der Service gibt die eine verbleibende Ressource zurück. Ein Dienst gibt möglicherweise alle Ressourcen zurück, einige davon. Oder es werden möglicherweise keine Ressourcen gemeldet. Informationen zum Bereinigen der Ressourcen für einen Dienst, der keine Ressourcen meldet, finden Sie unter AWS Dienste, die mit IAM funktionieren. Um die Dokumentation der serviceverknüpften Rolle für den Service anzuzeigen, suchen Sie Ihren Service in der Tabelle und wählen Sie den Link Yes.

Löschen einer dienstverknüpften Rolle in IAM (AWS API)

Sie können die IAM-API zum Löschen einer serviceverknüpften Rolle verwenden.

So löschen Sie eine serviceverknüpfte Rolle (API)

  1. Um eine Löschanfrage für eine serviceverknüpfte Rolle zu übermitteln, rufen Sie DeleteServiceLinkedRole auf. Geben Sie in der Anfrage das an AWSServiceRoleForAWSBatchWithSagemaker Rollenname.

    Da eine serviceverknüpfte Rolle nicht gelöscht werden kann, wenn sie verwendet wird oder ihr Ressourcen zugeordnet sind, müssen Sie eine Löschungsanforderung übermitteln. Diese Anforderung kann verweigert werden, wenn diese Bedingungen nicht erfüllt sind. Sie benötigen die DeletionTaskId aus der Antwort, um den Status der Löschaufgabe zu überprüfen.

  2. Um den Status der Löschung zu überprüfen, rufen Sie GetServiceLinkedRoleDeletionStatus auf. Geben Sie in der Anforderung die DeletionTaskId an.

    Der Status der Löschaufgabe kann NOT_STARTED, IN_PROGRESS, SUCCEEDED oder FAILED lauten. Wenn die Löschung fehlschlägt, gibt der Aufruf den Grund zurück, sodass Sie das Problem beheben können. Wenn die Löschung fehlschlägt, weil die Rolle Ressourcen des Services verwendet, enthält die Benachrichtigung eine Liste der Ressourcen – sofern der Service diese Informationen zurückgibt. Sie können dann die Ressourcen bereinigen und die Löschung erneut durchführen.

    Anmerkung

    Möglicherweise müssen Sie diesen Vorgang abhängig von den Informationen, die der Service zurückgibt, mehrmals wiederholen. Ihre serviceverknüpfte Rolle könnte beispielsweise sechs Ressourcen verwenden und Ihr Service Informationen zu fünf davon zurückgeben. Wenn Sie die fünf Ressourcen bereinigen und die Rolle erneut für den Löschvorgang übermitteln, schlägt die Löschung fehl und der Service gibt die eine verbleibende Ressource zurück. Ein Service kann alle Ressourcen zurückgeben oder nur einige bzw. gar keine. Informationen zum Bereinigen von Ressourcen für einen Service, der keine Ressourcen meldet, finden Sie unter AWS-Services , die mit IAM funktionieren. Um die Dokumentation der serviceverknüpften Rolle für den Service anzuzeigen, suchen Sie Ihren Service in der Tabelle und wählen Sie den Link Yes.

Unterstützte Regionen für AWS Batch Serviceverknüpfte Rollen

AWS Batch unterstützt die Verwendung dienstbezogener Rollen in allen Regionen, in denen der Dienst verfügbar ist. Weitere Informationen finden Sie unter AWS Batch -Endpunkte.