Richten Sie KI-Apps für Partner ein

Erteilen Sie Berechtigungen für AWS Marketplace. Administratoren von Partner-AI-Apps benötigen diese Berechtigungen, um Abonnements für Partner-AI-Apps bei zu erwerben AWS Marketplace. Um Zugriff darauf zu erhalten AWS Marketplace, müssen Administratoren die AWSMarketplaceManageSubscriptions verwaltete Richtlinie an die IAM-Rolle anhängen, die sie für den Zugriff auf die SageMaker AI-Konsole und den Kauf der App verwenden. Einzelheiten zur AWSMarketplaceManageSubscriptions verwalteten Richtlinie finden Sie unter AWS Verwaltete Richtlinien für AWS Marketplace Käufer. Informationen zum Hinzufügen von verwalteten Richtlinien finden Sie unter Hinzufügen und Entfernen von IAM-Identitätsberechtigungen.

Erteilen Sie der SageMaker KI die Erlaubnis, Operationen im Namen des Administrators mithilfe anderer AWS-Services auszuführen. Administratoren müssen SageMaker KI-Berechtigungen gewähren, um diese Dienste und die Ressourcen, auf die sie reagieren, nutzen zu können. In der folgenden Richtliniendefinition wird demonstriert, wie Sie die erforderlichen Berechtigungen für Partner-AI Apps gewähren. Diese Berechtigungen werden zusätzlich zu den vorhandenen Berechtigungen für die Administratorrolle benötigt. Weitere Informationen finden Sie unter Wie benutzt man SageMaker KI-Ausführungsrollen.

KI-Apps von Partnern benötigen eine Ausführungsrolle, um mit Ressourcen in der zu interagieren AWS-Konto. Administratoren können diese Ausführungsrolle mithilfe der AWS CLI erstellen. Die Partner AI App verwendet diese Rolle, um Aktionen im Zusammenhang mit der Funktionalität der Partner AI App abzuschließen.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Erstellen Sie die AWS License Manager serviceverknüpfte Rolle, indem Sie die Schritte unter Erstellen einer dienstverknüpften Rolle für den Lizenzmanager befolgen.  

Erteilen Sie der Partner AI App Berechtigungen für den Zugriff auf den License Manager mithilfe von AWS CLI. Diese Berechtigungen sind für den Zugriff auf die Lizenzen für die Partner AI App erforderlich. Dadurch kann die Partner AI App den Zugriff auf die Partner AI App-Lizenz überprüfen.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Wenn die Partner-KI-App Zugriff auf einen Amazon-S3-Bucket benötigt, fügen Sie der Ausführungsrolle Amazon-S3-Berechtigungen hinzu. Weitere Informationen finden Sie unter Erforderliche Berechtigungen für API-Operationen von Amazon S3.

Stellen Sie sicher, dass die Rolle „Partner AI App Execution“ über die erforderlichen Amazon Bedrock-Berechtigungen verfügt. Fügen Sie die folgenden Berechtigungen hinzu, um den Zugriff auf das Amazon Bedrock-Modell zu aktivieren:

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

Identifizieren Sie die Amazon Bedrock-Modelle, die Ihre Organisation der Partner AI App zur Verfügung stellen möchte. Sie können die verfügbaren Modelle in Ihrer Region mithilfe der Amazon Bedrock-Konsole anzeigen. Informationen zur Verfügbarkeit von Modellen in verschiedenen Regionen finden Sie unter Modellunterstützung von AWS-Region.

(Optional) Erstellen Sie vom Kunden verwaltete Inferenzprofile für die Kostenverfolgung und das Modellmanagement. Mithilfe von Inferenzprofilen können Sie die Nutzung von Amazon Bedrock speziell für die Partner AI App verfolgen und regionsübergreifende Ableitungen ermöglichen, wenn Modelle in Ihrer aktuellen Region nicht verfügbar sind. Weitere Informationen finden Sie unter Verwenden von Inferenzprofilen in Amazon Bedrock.

Geben Sie beim Erstellen oder Aktualisieren der Partner AI App die zulässigen Modelle und Inferenzprofile mithilfe der CreatePartnerApp OR-API an. UpdatePartnerApp Die Partner AI-App kann nur auf die Modelle und Inferenzprofile zugreifen, die Sie explizit konfigurieren.

Erteilen Sie der SageMaker KI die Erlaubnis, Operationen in Ihrem Namen mithilfe anderer auszuführen. AWS-Services Administratoren müssen SageMaker KI-Berechtigungen gewähren, um diese Dienste und die Ressourcen, auf die sie reagieren, nutzen zu können. Administratoren gewähren SageMaker AI diese Berechtigungen mithilfe einer IAM-Ausführungsrolle. Weitere Informationen zu IAM-Rollen finden Sie unter IAM-Rollen. In der folgenden Richtliniendefinition wird demonstriert, wie Sie die erforderlichen Berechtigungen für Partner-AI Apps gewähren. Diese Richtlinie kann zur Ausführungsrolle des Benutzerprofils hinzugefügt werden.  Weitere Informationen finden Sie unter Wie benutzt man SageMaker KI-Ausführungsrollen.

(Optional) Wenn Sie Partner-KI-Apps von Studio aus starten, fügen Sie die sts:TagSession Vertrauensrichtlinie wie folgt der Rolle hinzu, mit der Studio oder die Partner-AI-Apps direkt gestartet wurden. Dadurch wird sichergestellt, dass die Identität ordnungsgemäß weitergegeben werden kann.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Optional) Wenn Sie das SDK einer Partner-AI-App verwenden, um auf Funktionen in SageMaker AI zuzugreifen, fügen Sie der Rolle, die für die Ausführung des SDK-Codes verwendet wird, die folgende CallPartnerAppApi Berechtigung hinzu. Wenn Sie den SDK-Code von Studio aus ausführen, fügen Sie die Berechtigung zur Studio-Ausführungsrolle hinzu. Wenn Sie den Code von einem anderen Ort als Studio aus ausführen, fügen Sie die Berechtigung zur IAM-Rolle hinzu, die mit dem Notebook verwendet wird. Dadurch kann der Benutzer über das SDK der Partner AI App auf die Funktionen der Partner AI App zugreifen.