Conecte las JupyterLab libretas Studio a Amazon S3 Access Grants con tareas de formación y procesamiento - Amazon SageMaker AI
ConsideracionesConfiguración de los trabajos de entrenamiento y procesamiento con Concesiones de acceso a Amazon S3

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conecte las JupyterLab libretas Studio a Amazon S3 Access Grants con tareas de formación y procesamiento

Utilice la siguiente información para conceder subvenciones de acceso a Amazon S3 para acceder a los datos en los trabajos de SageMaker formación y procesamiento de Amazon.

Cuando un usuario con la propagación de identidad fiable habilitada lanza un trabajo de SageMaker formación o procesamiento que necesita acceder a los datos de Amazon S3:

  • SageMaker AI solicita Amazon S3 Access Grants para obtener credenciales temporales basadas en la identidad del usuario

  • Si se ejecutan correctamente, estas credenciales temporales acceden a los datos de Amazon S3.

  • Si no lo consigue, SageMaker AI vuelve a utilizar las credenciales del rol de IAM

nota

Para garantizar que todos los permisos se concedan mediante Concesiones de acceso a Amazon S3, tendrá que eliminar el permiso de acceso a Amazon S3 relacionado con su rol de ejecución y asociarlo a su Concesiones de acceso a Amazon S3 correspondiente.

Consideraciones

Las subvenciones de acceso de Amazon S3 no se pueden utilizar con el modo Pipe tanto para el SageMaker entrenamiento como para el procesamiento de las entradas de Amazon S3.

Cuando la propagación de identidad confiable está habilitada, no puede iniciar un trabajo de SageMaker formación con la siguiente función

  • Depuración remota

  • Depurador

  • Profiler

Si la propagación de identidades de confianza está habilitada, no puede iniciar un trabajo de procesamiento con la siguiente característica:

  • DatasetDefinition

Configuración de los trabajos de entrenamiento y procesamiento con Concesiones de acceso a Amazon S3

Después de configurar Concesiones de acceso a Amazon S3, añada los siguientes permisos a su dominio o rol de ejecución de usuario.

  • us-east-1 es su Región de AWS.

  • 111122223333 es su ID de Cuenta de AWS .

  • S3-ACCESS-GRANT-ROLE es su rol de Concesiones de acceso a Amazon S3.

JSON
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowDataAccessAPI",
            "Effect": "Allow",
            "Action": [
                "s3:GetDataAccess",
                "s3:GetAccessGrantsInstanceForPrefix"
            ],
            "Resource": [
                "arn:aws:s3:us-east-1:111122223333:access-grants/default"
            ]
        },
        {
            "Sid": "RequiredForIdentificationPropagation",
            "Effect": "Allow",
            "Action": "sts:SetContext",
            "Resource": "arn:aws:iam::111122223333:role/S3-ACCESS-GRANT-ROLE"
        }
    ]
}