Richten Sie KI-Apps für Partner ein

Erteilen Sie Berechtigungen fürAWS Marketplace. Administratoren von Partner-KI-Apps benötigen diese Berechtigungen, um Abonnements für Partner-KI-Apps zu erwerbenAWS Marketplace. Um Zugriff darauf zu erhaltenAWS Marketplace, müssen Administratoren die AWSMarketplaceManageSubscriptions verwaltete Richtlinie an die IAM-Rolle anhängen, die sie für den Zugriff auf die SageMaker KI-Konsole und den Kauf der App verwenden. Einzelheiten zur AWSMarketplaceManageSubscriptions verwalteten Richtlinie finden Sie unter AWSVerwaltete Richtlinien für AWS Marketplace Käufer. Informationen zum Hinzufügen von verwalteten Richtlinien finden Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen.

Erteilen Sie SageMaker KI die Erlaubnis, Operationen im Namen der Administratoren mithilfe von anderen AWS-Services auszuführen. Administratoren müssen SageMaker KI Berechtigungen zur Nutzung dieser Dienste und der Ressourcen, auf die sie zugreifen, erteilen. In der folgenden Richtliniendefinition wird demonstriert, wie Sie die erforderlichen Berechtigungen für Partner-AI Apps gewähren. Diese Berechtigungen werden zusätzlich zu den vorhandenen Berechtigungen für die Administratorrolle benötigt. Weitere Informationen finden Sie unter Wie verwendet man SageMaker AI-Ausführungsrollen.

KI-Apps von Partnern benötigen eine Ausführungsrolle, um mit Ressourcen in der zu interagierenAWS-Konto. Administratoren können diese Ausführungsrolle mithilfe der AWS CLI erstellen. Die Partner AI App verwendet diese Rolle, um Aktionen im Zusammenhang mit der Funktionalität der Partner AI App abzuschließen.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Erstellen Sie die AWS License Manager dienstverknüpfte Rolle, indem Sie die Schritte unter Erstellen einer dienstbezogenen Rolle für License Manager ausführen. 

Erteilen Sie der Partner AI App Berechtigungen für den Zugriff auf den License Manager mithilfe vonAWS CLI. Diese Berechtigungen sind für den Zugriff auf die Lizenzen für die Partner AI App erforderlich. Dadurch kann die Partner AI App den Zugriff auf die Partner AI App-Lizenz überprüfen.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Wenn die Partner AI-App Zugriff auf einen Amazon S3 S3-Bucket benötigt, fügen Sie der Ausführungsrolle Amazon S3 S3-Berechtigungen hinzu. Weitere Informationen finden Sie unter Erforderliche Berechtigungen für API-Operationen von Amazon S3.

Stellen Sie sicher, dass die Partner-AI-App-Ausführungsrolle über die erforderlichen Amazon Bedrock-Berechtigungen verfügt. Fügen Sie die folgenden Berechtigungen hinzu, um den Zugriff auf das Amazon Bedrock-Modell zu aktivieren:

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",		 	 	 
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

Identifizieren Sie die Amazon Bedrock-Modelle, die Ihr Unternehmen der Partner AI App zur Verfügung stellen möchte. Sie können die verfügbaren Modelle in Ihrer Region mithilfe der Amazon Bedrock-Konsole anzeigen. Informationen zur Verfügbarkeit von Modellen in verschiedenen Regionen finden Sie unter Modellsupport von AWS-Region.

(Optional) Erstellen Sie vom Kunden verwaltete Inferenzprofile für die Kostenverfolgung und das Modellmanagement. Mit Inferenzprofilen können Sie die Nutzung von Amazon Bedrock speziell für die Partner AI App verfolgen und regionsübergreifende Inferenzen ermöglichen, wenn Modelle in Ihrer aktuellen Region nicht verfügbar sind. Weitere Informationen finden Sie unter Verwenden von Inferenzprofilen in Amazon Bedrock.

Geben Sie bei der Erstellung oder Aktualisierung der Partner-AI-App die zulässigen Modelle und Inferenzprofile mithilfe der CreatePartnerApp API oder an. UpdatePartnerApp Die Partner-AI-App kann nur auf die Modelle und Inferenzprofile zugreifen, die Sie explizit konfigurieren.

Erteilen Sie SageMaker KI die Erlaubnis, Operationen in Ihrem Namen mithilfe anderer auszuführen. AWS-Services Administratoren müssen SageMaker KI Berechtigungen zur Nutzung dieser Dienste und der Ressourcen, auf die sie zugreifen, erteilen. Administratoren gewähren SageMaker KI diese Berechtigungen mithilfe einer IAM-Ausführungsrolle. Weitere Informationen zu IAM-Rollen finden Sie unter IAM-Rollen. In der folgenden Richtliniendefinition wird demonstriert, wie Sie die erforderlichen Berechtigungen für Partner-AI Apps gewähren. Diese Richtlinie kann zur Ausführungsrolle des Benutzerprofils hinzugefügt werden.  Weitere Informationen finden Sie unter Wie verwendet man SageMaker AI-Ausführungsrollen.

(Optional) Wenn Sie Partner-KI-Apps von Studio aus starten, fügen Sie die sts:TagSession Vertrauensrichtlinie wie folgt der Rolle hinzu, mit der Studio oder die Partner-AI-Apps direkt gestartet wurden. Dadurch wird sichergestellt, dass die Identität ordnungsgemäß weitergegeben werden kann.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Optional) Wenn Sie das SDK einer Partner-KI-App für den Zugriff auf Funktionen in SageMaker KI verwenden, fügen Sie der Rolle, die zur Ausführung des SDK-Codes verwendet wird, die folgende CallPartnerAppApi Berechtigung hinzu. Wenn Sie den SDK-Code von Studio aus ausführen, fügen Sie die Berechtigung zur Studio-Ausführungsrolle hinzu. Wenn Sie den Code von einem anderen Ort als Studio aus ausführen, fügen Sie die Berechtigung zur IAM-Rolle hinzu, die mit dem Notebook verwendet wird. Dadurch kann der Benutzer über das SDK der Partner AI App auf die Funktionen der Partner AI App zugreifen.