Configuration des applications d’IA des partenaires

Accordez des autorisations pourAWS Marketplace. Les administrateurs de Partner AI Apps ont besoin de ces autorisations pour acheter des abonnements à Partner AI Apps auprès deAWS Marketplace. Pour y accéderAWS Marketplace, les administrateurs doivent associer la politique AWSMarketplaceManageSubscriptions gérée au rôle IAM qu'ils utilisent pour accéder à la console SageMaker AI et acheter l'application. Pour plus de détails sur la politique AWSMarketplaceManageSubscriptions gérée, consultez la section Politiques AWS gérées pour AWS Marketplace les acheteurs. Pour en savoir plus sur l’attachement des politiques gérées, consultez Ajout et suppression d’autorisations basées sur l’identité IAM.

Accordez à SageMaker AI l'autorisation d'exécuter des opérations pour le compte des administrateurs en utilisant d'autresServices AWS. Les administrateurs doivent autoriser l' SageMaker IA à utiliser ces services et les ressources sur lesquelles ils agissent. La définition de politique suivante montre comment accorder les autorisations requises pour les applications d’IA des partenaires. Ces autorisations sont nécessaires en plus des autorisations existantes pour le rôle d’administrateur. Pour plus d’informations, consultez Comment utiliser les rôles d'exécution de l' SageMaker IA.

Les applications d’IA des partenaires nécessitent un rôle d’exécution pour interagir avec les ressources dans le Compte AWS. Les administrateurs peuvent créer ce rôle d’exécution à l’aide de l’AWS CLI. L’application d’IA des partenaires utilise ce rôle pour effectuer les actions liées aux fonctionnalités des applications d’IA des partenaires.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Créez le rôle AWS License Manager lié à un service en suivant les étapes décrites dans Créer un rôle lié à un service pour License Manager. 

Accordez des autorisations permettant à l’application d’IA des partenaires d’accéder à License Manager à l’aide de l’AWS CLI. Ces autorisations sont nécessaires pour accéder aux licences de l’application d’IA des partenaires. Cela permet à l’application d’IA des partenaires de vérifier l’accès à la licence des applications d’IA des partenaires.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",		 	 	 
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Si l’application d’IA des partenaires nécessite l’accès à un compartiment Amazon S3, ajoutez des autorisations Amazon S3 au rôle d’exécution. Pour plus d’informations, consultez Autorisations requises pour les opérations d’API Amazon S3.

Assurez-vous que le rôle d'exécution de l'application Partner AI dispose des autorisations Amazon Bedrock requises. Ajoutez les autorisations suivantes pour activer l'accès au modèle Amazon Bedrock :

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name BedrockInferencePolicy --policy-document '{
	   "Version": "2012-10-17",		 	 	 
	   "Statement": {
	     "Effect": "Allow",
	     "Action": [
	       "bedrock:InvokeModel",
	       "bedrock:GetFoundationModel",
	       "bedrock:GetInferenceProfile"
	     ],
	     "Resource": "*"
	   }
	 }'

Identifiez les modèles Amazon Bedrock que votre organisation souhaite mettre à disposition de l'application Partner AI. Vous pouvez consulter les modèles disponibles dans votre région à l'aide de la console Amazon Bedrock. Pour plus d'informations sur la disponibilité des modèles dans toutes les régions, consultez la section Support des modèles par Région AWS.

(Facultatif) Créez des profils d'inférence gérés par le client pour le suivi des coûts et la gestion des modèles. Les profils d'inférence vous permettent de suivre l'utilisation d'Amazon Bedrock spécifiquement pour l'application Partner AI et peuvent activer l'inférence entre régions lorsque les modèles ne sont pas disponibles dans votre région actuelle. Pour plus d'informations, consultez la section Utilisation de profils d'inférence dans Amazon Bedrock.

Lors de la création ou de la mise à jour de l'application Partner AI, spécifiez les modèles autorisés et les profils d'inférence à l'aide de l'UpdatePartnerAppAPI CreatePartnerApp or. L'application Partner AI ne pourra accéder qu'aux modèles et aux profils d'inférence que vous configurez explicitement.

Accordez à l' SageMaker IA des autorisations pour exécuter des opérations en votre nom en utilisant d'autresServices AWS. Les administrateurs doivent autoriser l' SageMaker IA à utiliser ces services et les ressources sur lesquelles ils agissent. Les administrateurs accordent ces autorisations à SageMaker AI en utilisant un rôle d'exécution IAM. Pour plus d’informations sur les rôles IAM, consultez Rôles IAM. La définition de politique suivante montre comment accorder les autorisations requises pour les applications d’IA des partenaires. Cette politique peut être ajoutée au rôle d’exécution du profil utilisateur.  Pour plus d’informations, consultez Comment utiliser les rôles d'exécution de l' SageMaker IA.

(Facultatif) Si vous lancez des applications d’IA des partenaires depuis Studio, ajoutez la politique d’approbation sts:TagSession au rôle utilisé pour lancer directement Studio ou les applications d’IA des partenaires comme suit. Cela garantit que l’identité peut être propagée correctement.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Facultatif) Si vous utilisez le SDK d'une application Partner AI pour accéder aux fonctionnalités de l' SageMaker IA, ajoutez l'CallPartnerAppApiautorisation suivante au rôle utilisé pour exécuter le code du SDK. Si vous exécutez le code du kit SDK depuis Studio, ajoutez l’autorisation au rôle d’exécution de Studio. Si vous exécutez le code depuis un autre emplacement que Studio, ajoutez l’autorisation au rôle IAM utilisé avec le bloc-notes. Cela permet à l’utilisateur d’accéder aux fonctionnalités de l’application d’IA des partenaires à partir du kit SDK de l’application d’IA des partenaires.