Configuración de aplicaciones de IA para socios

Otorgue permisos paraAWS Marketplace. Los administradores de Partner AI Apps necesitan estos permisos para comprar suscripciones a Partner AI AppsAWS Marketplace. Para acceder a ellaAWS Marketplace, los administradores deben adjuntar la política AWSMarketplaceManageSubscriptions gestionada a la función de IAM que utilizan para acceder a la consola de SageMaker IA y comprar la aplicación. Para obtener más información sobre la política AWSMarketplaceManageSubscriptions gestionada, consulta Políticas AWS gestionadas para AWS Marketplace compradores. Para obtener más información acerca de cómo asociar políticas administradas, consulte Adición y eliminación de permisos de identidad de IAM.

Concede permisos para que la SageMaker IA ejecute operaciones en nombre de los administradores utilizando otrasServicios de AWS. Los administradores deben conceder permisos a la SageMaker IA para usar estos servicios y los recursos sobre los que actúan. En la siguiente definición de política se muestra cómo conceder los permisos necesarios de aplicaciones de IA para socios. Estos permisos son necesarios además de los permisos existentes para el rol de administrador. Para obtener más información, consulte Cómo utilizar las funciones de ejecución de la SageMaker IA.

Las aplicaciones de IA para socios requieren un rol de ejecución para interactuar con los recursos de la Cuenta de AWS. Los administradores pueden crear este rol de ejecución desde la AWS CLI. La aplicación de AI para socios utiliza este rol para completar las acciones relacionadas con la funcionalidad de la aplicación de IA para socios.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Cree el rol AWS License Manager vinculado a un servicio siguiendo los pasos de Crear un rol vinculado a un servicio para License Manager. 

Otorgue permisos para que la aplicación de IA para socios acceda a License Manager desde la AWS CLI. Estos permisos son necesarios para acceder a las licencias de la aplicación de IA para socios. Esto permite a la aplicación de IA para socios verificar el acceso a la licencia de la aplicación de IA para socios.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Si la aplicación de IA para socios requiere acceso a un bucket de Amazon S3, añada los permisos de Amazon S3 al rol de ejecución. Para obtener más información, consulte Permisos necesarios para las operaciones de la API de Amazon S3.

Asegúrese de que la función de ejecución de la aplicación Partner AI tenga los permisos de Amazon Bedrock necesarios. Añada los siguientes permisos para habilitar el acceso al modelo Amazon Bedrock:

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",		 	 	 
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

Identifique los modelos de Amazon Bedrock que su organización quiere poner a disposición de la aplicación Partner AI. Puede ver los modelos disponibles en su región mediante la consola Amazon Bedrock. Para obtener información sobre la disponibilidad de los modelos en todas las regiones, consulte Soporte de modelos por Región de AWS.

(Opcional) Cree perfiles de inferencia gestionados por el cliente para el seguimiento de los costes y la gestión de modelos. Los perfiles de inferencia le permiten realizar un seguimiento del uso de Amazon Bedrock específicamente para la aplicación Partner AI y pueden habilitar la inferencia entre regiones cuando los modelos no están disponibles en su región actual. Para obtener más información, consulte Uso de perfiles de inferencia en Amazon Bedrock.

Al crear o actualizar la aplicación Partner AI, especifique los modelos y perfiles de inferencia permitidos mediante la CreatePartnerApp API o. UpdatePartnerApp La aplicación Partner AI solo podrá acceder a los modelos y perfiles de inferencia que usted configure de forma explícita.

Otorgue permisos para que SageMaker AI ejecute operaciones en su nombre utilizando otras. Servicios de AWS Los administradores deben conceder permisos a la SageMaker IA para usar estos servicios y los recursos sobre los que actúan. Los administradores conceden estos permisos a SageMaker AI mediante una función de ejecución de IAM. Para obtener más información sobre los roles de IAM, consulte Roles de IAM. En la siguiente definición de política se muestra cómo conceder los permisos necesarios de aplicaciones de IA para socios. Esta política se puede agregar al rol de ejecución del perfil de usuario.  Para obtener más información, consulte Cómo utilizar las funciones de ejecución de la SageMaker IA.

(Opcional) Si va a lanzar aplicaciones de IA para socios desde Studio, añada la política de confianza sts:TagSession al rol utilizado para lanzar Studio o las aplicaciones de IA para socios directamente de la siguiente manera. De este modo se garantiza que la identidad se pueda propagar correctamente.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Opcional) Si utilizas el SDK de una aplicación de IA asociada para acceder a las funciones de la SageMaker IA, añade el siguiente CallPartnerAppApi permiso a la función utilizada para ejecutar el código del SDK. Si ejecuta el código del SDK desde Studio, añada el permiso al rol de ejecución de Studio. Si ejecuta el código desde otro lugar que no sea Studio, añada el permiso al rol de IAM utilizado con el cuaderno. Esto permite al usuario acceder a la funcionalidad de la aplicación de IA para socios desde el SDK de la aplicación de IA para socios.