Comment utiliser les rôles d'exécution de l' SageMaker IA

Amazon SageMaker AI effectue des opérations en votre nom à l'aide d'autres AWS services. Vous devez accorder à SageMaker l'IA des autorisations pour utiliser ces services et les ressources sur lesquelles ils agissent. Vous accordez ces autorisations à SageMaker AI à l'aide d'un rôle d'exécution Gestion des identités et des accès AWS (IAM). Pour plus d’informations sur les rôles IAM, consultez Rôles IAM.

Pour créer et utiliser un rôle d'exécution, vous pouvez utiliser les procédures suivantes.

Créer un rôle d’exécution

Utilisez la procédure suivante pour créer un rôle d’exécution avec la politique gérée IAM, AmazonSageMakerFullAccess, attachée. Si votre cas d’utilisation nécessite des autorisations plus détaillées, utilisez d’autres sections de cette page pour créer un rôle d’exécution qui répond aux besoins de votre entreprise. Vous pouvez créer un rôle d'exécution à l'aide de la console SageMaker AI ou du AWS CLI.

Pour créer un nouveau rôle d'exécution depuis la console SageMaker AI

Pour créer un nouveau rôle d'exécution depuis AWS CLI

Avant de créer un rôle d'exécution à l'aide du AWS CLI, assurez-vous de le mettre à jour et de le configurer en suivant les instructions figurant dans(Facultatif) Configurez le AWS CLI, puis poursuivez avec les instructions contenues dansConfiguration personnalisée à l'aide du AWS CLI.

Une fois que vous avez créé un rôle d'exécution, vous pouvez l'associer à un domaine SageMaker AI, à un profil utilisateur ou à une instance de bloc-notes Jupyter.

Vous pouvez également transmettre l'ARN d'un rôle d'exécution à votre appel d'API. Par exemple, à l'aide du SDK Amazon SageMaker Python, vous pouvez transmettre l'ARN de votre rôle d'exécution à un estimateur. Dans l'exemple de code qui suit, nous créons un estimateur à l'aide du conteneur d' XGBoostalgorithmes et transmettons l'ARN du rôle d'exécution en tant que paramètre. Pour un exemple complet GitHub, voir Customer Churn Prediction with XGBoost.

import sagemaker, boto3
from sagemaker import image_uris

sess = sagemaker.Session()
region = sess.boto_region_name
bucket = sess.default_bucket()
prefix = "sagemaker/DEMO-xgboost-churn"
container = sagemaker.image_uris.retrieve("xgboost", region, "1.7-1")

xgb = sagemaker.estimator.Estimator(
    container,
    execution-role-ARN,
    instance_count=1,
    instance_type="ml.m4.xlarge",
    output_path="s3://{}/{}/output".format(bucket, prefix),
    sagemaker_session=sess,
)

...

Ajouter des autorisations Amazon S3 supplémentaires à un rôle d'exécution SageMaker AI

Lorsque vous utilisez une fonctionnalité d' SageMaker IA avec des ressources dans Amazon S3, telles que des données d'entrée, le rôle d'exécution que vous spécifiez dans votre demande (par exempleCreateTrainingJob) est utilisé pour accéder à ces ressources.

Si vous attachez la politique gérée IAM, AmazonSageMakerFullAccess, à un rôle d’exécution, ce rôle a l’autorisation d’effectuer certaines actions Amazon S3 sur des compartiments ou des objets avec SageMaker, Sagemaker, sagemaker, ou aws-glue dans le nom. Elle a également l'autorisation d'effectuer les opérations suivantes sur n'importe quelle ressource Amazon S3 :

"s3:CreateBucket", 
"s3:GetBucketLocation",
"s3:ListBucket",
"s3:ListAllMyBuckets",
"s3:GetBucketCors",
"s3:PutBucketCors"

Pour accorder à un rôle d’exécution des autorisations pour accéder à un ou plusieurs compartiments spécifiques dans Amazon S3, vous pouvez attacher une politique similaire à la suivante au rôle. Cette politique accorde une autorisation de rôle IAM pour effectuer toutes les actions qu’AmazonSageMakerFullAccess autorise, mais restreint cet accès aux compartiments amzn-s3-demo-bucket1 et amzn-s3-demo-bucket2. Reportez-vous à la documentation de sécurité de la fonctionnalité d' SageMaker IA spécifique que vous utilisez pour en savoir plus sur les autorisations Amazon S3 requises pour cette fonctionnalité.

Obtention de votre rôle d’exécution

Vous pouvez utiliser la console SageMaker AI, le SDK Amazon SageMaker Python ou le AWS CLIpour récupérer l'ARN et le nom du rôle d'exécution associé à un domaine, un espace ou un profil utilisateur SageMaker AI.

Obtention du rôle d’exécution d’un domaine

Vous trouverez ci-dessous des instructions pour rechercher le rôle d’exécution de votre domaine.

Obtention du rôle d’exécution d’un espace

Vous trouverez ci-dessous des instructions pour rechercher le rôle d’exécution de votre espace.

from sagemaker import get_execution_role
role = get_execution_role()
print(role)

Obtention du rôle d’exécution d’un utilisateur

Vous trouverez ci-dessous des instructions pour rechercher le rôle d’exécution d’un utilisateur.

aws sts get-caller-identity

Changement de rôle d’exécution

Un rôle d'exécution est un rôle IAM assumé par une identité d' SageMaker IA (comme un utilisateur, un espace ou un domaine d' SageMaker IA). Le changement de rôle IAM modifie les autorisations pour toutes les identités assumant ce rôle.

Lorsque vous changez un rôle d’exécution, le rôle d’exécution de l’espace correspondant change également. La propagation des effets du changement peut prendre un certain temps.

Pour plus d’informations sur les espaces et les rôles d’exécution, consultez Comprendre les autorisations d’espace de domaine et les rôles d’exécution.

Vous pouvez remplacer le rôle d’exécution d’une identité par un autre rôle IAM en suivant l’une des instructions suivantes.

Si, à la place, vous souhaitez modifier un rôle assumé par une identité, consultez Modification des autorisations d’accès au rôle d’exécution.

Changement du rôle d’exécution par défaut d’un domaine

Vous trouverez ci-dessous des instructions pour changer le rôle d’exécution par défaut de votre domaine.

Changement du rôle d’exécution par défaut d’un espace

Vous trouverez ci-dessous des instructions pour changer le rôle d’exécution par défaut de votre espace. Le changement de ce rôle d’exécution changera le rôle assumé par tous les espaces partagés dans le domaine.

Changement du rôle d’exécution d’un profil utilisateur

Vous trouverez ci-dessous des instructions pour changer le rôle d’exécution d’un utilisateur. Le changement de ce rôle d’exécution changera le rôle assumé par tous les espaces privés créés par cet utilisateur.

Modification des autorisations d’accès au rôle d’exécution

Vous pouvez modifier les autorisations existantes relatives au rôle d'exécution d'une identité (comme un utilisateur, un espace ou un domaine SageMaker AI). Cela se fait en recherchant le rôle IAM approprié que l’identité assume, puis en modifiant ce rôle IAM. Vous trouverez ci-dessous des instructions pour y parvenir via la console.

Lorsque vous modifiez un rôle d’exécution, le rôle d’exécution de l’espace correspondant change également. Les effets du changement peuvent ne pas être immédiats.

Pour plus d’informations sur les espaces et les rôles d’exécution, consultez Comprendre les autorisations d’espace de domaine et les rôles d’exécution.

Si, à la place, vous souhaitez changer un rôle assumé par une identité, consultez Changement de rôle d’exécution.

Transmission de rôles

Des actions telles que le transfert d'un rôle entre les services sont une fonction courante au sein de l' SageMaker IA. Vous trouverez plus de détails sur les actions, les ressources et les clés de condition pour l' SageMaker IA dans la référence d'autorisation de service.

Vous transmettez le rôle (iam:PassRole) lorsque vous effectuez les appels d’API : CreateAutoMLJob, CreateCompilationJob, CreateDomain, CreateFeatureGroup, CreateFlowDefiniton, CreateHyperParameterTuningJob, CreateImage, CreateLabelingJob, CreateModel, CreateMonitoringSchedule, CreateNotebookInstance, CreateProcessingJob, CreateTrainingJob, CreateUserProfile, RenderUiTemplate, UpdateImage et UpdateNotebookInstance.

Vous attachez la politique de confiance suivante au rôle IAM, qui accorde à l' SageMaker IA les autorisations principales pour assumer le rôle, et qui est la même pour tous les rôles d'exécution :

Les autorisations que vous devez accorder au rôle varient en fonction de l’API que vous appelez. Les sections suivantes présentent ces autorisations.

Pour plus d’informations sur les rôles IAM, consultez Rôles IAM dans la Référence d’autorisation de service.

CreateAutoMLJob et API CreateAuto MLJob V2 : autorisations des rôles d'exécution

Pour un rôle d’exécution que vous pouvez transmettre dans une demande d’API CreateAutoMLJob ou CreateAutoMLJobV2, vous pouvez attacher la politique d’autorisation minimum suivante au rôle :

Si vous spécifiez un VPC privé pour votre tâche AutoML, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}

Si votre entrée est chiffrée à l'aide d'un chiffrement côté serveur à l'aide d'une clé AWS gérée par KMS (SSE-KMS), ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Si vous spécifiez une clé KMS dans la configuration de sortie de la tâche AutoML, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Si vous spécifiez une clé KMS de volume dans la configuration des ressources de la tâche AutoML, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateDomain API : autorisations relatives aux rôles d'exécution

Le rôle d'exécution pour les domaines avec IAM Identity Center et le user/execution rôle pour les domaines IAM nécessitent les autorisations suivantes lorsque vous transmettez une clé gérée par le AWS KMS client comme KmsKeyId dans la demande d'CreateDomainAPI. Les autorisations sont appliquées au cours de l’appel d’API CreateApp.

Pour un rôle d'exécution que vous pouvez transmettre dans la demande d'API CreateDomain, vous pouvez attacher la politique d'autorisation suivante au rôle :

De même, si les autorisations sont spécifiées dans une politique KMS, vous pouvez attacher la politique suivante au rôle :

CreateImage et UpdateImage APIs : Autorisations relatives aux rôles d'exécution

Pour un rôle d'exécution que vous pouvez transmettre dans une demande d'API CreateImage ou UpdateImage, vous pouvez attacher la politique d'autorisation suivante au rôle :

CreateNotebookInstance API : autorisations relatives aux rôles d'exécution

Les autorisations que vous accordez au rôle d’exécution pour appeler l’API CreateNotebookInstance dépendent de la façon dont vous prévoyez d’utiliser l’instance de bloc-notes. Si vous prévoyez de l'utiliser pour invoquer l' SageMaker IA APIs et transmettre le même rôle lorsque vous appelez le CreateTrainingJob et CreateModel APIs, associez la politique d'autorisation suivante au rôle :

Pour restreindre les autorisations, limitez-les aux ressources Amazon S3 et Amazon ECR spécifiques, en limitant "Resource": "*" comme suit :

Si vous avez besoin d'accéder à d'autres sources, telles que des ressources Amazon DynamoDB ou Amazon Relational Database Service, ajoutez les autorisations adéquates à cette politique.

Dans la politique précédente, vous adaptez la stratégie comme suit :

Les actions cloudwatch et logs sont applicables aux ressources « * ». Pour plus d'informations, consultez la section CloudWatch Ressources et opérations dans le guide de CloudWatch l'utilisateur Amazon.

CreateHyperParameterTuningJob API : autorisations relatives aux rôles d'exécution

Pour un rôle d’exécution que vous pouvez transmettre dans une demande d’API CreateHyperParameterTuningJob, vous pouvez attacher la politique d’autorisation suivante au rôle :

Au lieu de les spécifier"Resource": "*", vous pouvez étendre ces autorisations à des ressources Amazon S3, Amazon ECR et Amazon CloudWatch Logs spécifiques :

Si le conteneur d’entraînement associé à la tâche de réglage d’hyperparamètre doit accéder à d’autres sources de données telles que les ressources DynamoDB ou Amazon RDS, ajoutez les autorisations pertinentes à cette politique.

Dans la politique précédente, vous adaptez la politique comme suit :

Les actions cloudwatch sont applicables aux ressources "*". Pour plus d'informations, consultez la section CloudWatch Ressources et opérations dans le guide de CloudWatch l'utilisateur Amazon.

Si vous spécifiez un VPC privé pour votre tâche de réglage d’hyperparamètres, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}

Si votre entrée est chiffrée à l'aide d'un chiffrement côté serveur à l'aide d'une clé AWS gérée par KMS (SSE-KMS), ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Si vous spécifiez une clé KMS dans la configuration de sortie de la tâche de réglage des hyper-paramètres, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Si vous spécifiez une clé KMS de volume dans la configuration des ressources de la tâche de réglage des hyper-paramètres, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateProcessingJob API : autorisations relatives aux rôles d'exécution

Pour un rôle d'exécution que vous pouvez transmettre dans une demande d'API CreateProcessingJob, vous pouvez attacher la politique d'autorisation suivante au rôle :

Au lieu de spécifier "Resource": "*", vous pouvez adapter ces autorisations à des ressources Amazon S3 et Amazon ECR spécifiques :

Si CreateProcessingJob.AppSpecification.ImageUri a besoin d'accéder à d'autres sources de données, telles que des ressources DynamoDB ou Amazon RDS, ajoutez les autorisations adéquates à cette politique.

Dans la politique précédente, vous adaptez la politique comme suit :

Les actions cloudwatch et logs sont applicables aux ressources « * ». Pour plus d'informations, consultez la section CloudWatch Ressources et opérations dans le guide de CloudWatch l'utilisateur Amazon.

Si vous spécifiez un VPC privé pour votre tâche de traitement, ajoutez les autorisations suivantes. Ne limitez pas la politique avec des conditions ou des filtres de ressources. Dans le cas contraire, les contrôles de validation effectués lors de la création de la tâche de traitement échouent.

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}

Si votre entrée est chiffrée à l'aide d'un chiffrement côté serveur à l'aide d'une clé AWS gérée par KMS (SSE-KMS), ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Si vous spécifiez une clé KMS dans la configuration de sortie de la tâche de traitement, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Si vous spécifiez une clé KMS de volume dans la configuration des ressources de la tâche de traitement, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateTrainingJob API : autorisations relatives aux rôles d'exécution

Pour un rôle d'exécution que vous pouvez transmettre dans une demande d'API CreateTrainingJob, vous pouvez attacher la politique d'autorisation suivante au rôle :

Au lieu de spécifier "Resource": "*", vous pouvez adapter ces autorisations à des ressources Amazon S3 et Amazon ECR spécifiques :

Si CreateTrainingJob.AlgorithSpecifications.TrainingImage a besoin d'accéder à d'autres sources de données, telles que des ressources DynamoDB ou Amazon RDS, ajoutez les autorisations adéquates à cette politique.

Dans la politique précédente, vous adaptez la politique comme suit :

Les actions cloudwatch et logs sont applicables aux ressources « * ». Pour plus d'informations, consultez la section CloudWatch Ressources et opérations dans le guide de CloudWatch l'utilisateur Amazon.

Si vous spécifiez un VPC privé pour votre tâche d’entraînement, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
      "ec2:CreateNetworkInterface",
      "ec2:CreateNetworkInterfacePermission",
      "ec2:DeleteNetworkInterface",
      "ec2:DeleteNetworkInterfacePermission",
      "ec2:DescribeNetworkInterfaces",
      "ec2:DescribeVpcs",
      "ec2:DescribeDhcpOptions",
      "ec2:DescribeSubnets",
      "ec2:DescribeSecurityGroups"
    ]
}

Si votre entrée est chiffrée à l'aide d'un chiffrement côté serveur à l'aide d'une clé AWS gérée par KMS (SSE-KMS), ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Si vous spécifiez une clé KMS dans la configuration de sortie de la tâche d’entraînement, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Si vous spécifiez une clé KMS de volume dans la configuration des ressources de la tâche d’entraînement, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateModel API : autorisations relatives aux rôles d'exécution

Pour un rôle d'exécution que vous pouvez transmettre dans une demande d'API CreateModel, vous pouvez attacher la politique d'autorisation suivante au rôle :

Au lieu de spécifier "Resource": "*", vous pouvez adapter ces autorisations à des ressources Amazon S3 et Amazon ECR spécifiques :

Si CreateModel.PrimaryContainer.Image a besoin d'accéder à d'autres sources de données, telles que des ressources Amazon DynamoDB ou Amazon RDS, ajoutez les autorisations adéquates à cette politique.

Dans la politique précédente, vous adaptez la politique comme suit :

Les actions cloudwatch et logs sont applicables aux ressources « * ». Pour plus d'informations, consultez la section CloudWatch Ressources et opérations dans le guide de CloudWatch l'utilisateur Amazon.

Si vous spécifiez un VPC privé pour votre modèle, ajoutez les autorisations suivantes :

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}