Politiques gérées par AWS pour le registre des modèles - Amazon SageMaker AI
AmazonSageMakerModelRegistryFullAccessMises à jour des politiques du registre des modèles

Politiques gérées par AWS pour le registre des modèles

Ces politiques gérées par AWS ajoutent les autorisations requises pour utiliser le registre des modèles. Les politiques sont disponibles dans votre compte AWS et sont utilisées par les rôles d’exécution créés à partir de la console Amazon SageMaker AI.

Politique gérée par AWS : AmazonSageMakerModelRegistryFullAccess

Cette politique gérée par AWS accorde les autorisations nécessaires pour utiliser toutes les fonctionnalités du registre de modèles au sein d’un domaine Amazon SageMaker AI. Cette politique est attachée à un rôle d’exécution lors de la configuration des paramètres du registre de modèles pour activer les autorisations du registre des modèles.

Cette politique inclut les autorisations suivantes.

  • ecr : permet aux principaux de récupérer des informations, y compris des métadonnées, sur les images Amazon Elastic Container Registry (Amazon ECR).

  • iam : autorise les principaux à transmettre le rôle d’exécution au service Amazon SageMaker AI.

  • resource-groups : permet aux principaux de créer, répertorier, étiqueter et supprimer des groupes Groupes de ressources AWS.

  • s3 : permet aux principaux de récupérer des objets depuis les compartiments Amazon Simple Storage Service (Amazon S3) dans lesquels les versions des modèles sont stockées. Les objets récupérables sont limités à ceux dont le nom insensible à la casse contient la chaîne "sagemaker".

  • sagemaker : autorise les principaux à cataloguer, gérer et déployer des modèles à l’aide du registre de modèles SageMaker.

  • kms : autorise uniquement le principal du service SageMaker AI d’ajouter un octroi, de générer des clés de données, de déchiffrer et de lire des clés AWS KMS, et uniquement des clés étiquetées pour une utilisation de « sagemaker ».

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AmazonSageMakerModelRegistrySageMakerReadPermission",
      "Effect": "Allow",
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeInferenceRecommendationsJob",
        "sagemaker:DescribeModelPackage",
        "sagemaker:DescribeModelPackageGroup",
        "sagemaker:DescribePipeline",
        "sagemaker:DescribePipelineExecution",
        "sagemaker:ListAssociations",
        "sagemaker:ListArtifacts",
        "sagemaker:ListModelMetadata",
        "sagemaker:ListModelPackages",
        "sagemaker:Search",
        "sagemaker:GetSearchSuggestions"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistrySageMakerWritePermission",
      "Effect": "Allow",
      "Action": [
        "sagemaker:AddTags",
        "sagemaker:CreateModel",
        "sagemaker:CreateModelPackage",
        "sagemaker:CreateModelPackageGroup",
        "sagemaker:CreateEndpoint",
        "sagemaker:CreateEndpointConfig",
        "sagemaker:CreateInferenceRecommendationsJob",
        "sagemaker:DeleteModelPackage",
        "sagemaker:DeleteModelPackageGroup",
        "sagemaker:DeleteTags",
        "sagemaker:UpdateModelPackage"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryS3GetPermission",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::*SageMaker*",
        "arn:aws:s3:::*Sagemaker*",
        "arn:aws:s3:::*sagemaker*"
      ]
    },
    {
      "Sid": "AmazonSageMakerModelRegistryS3ListPermission",
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryECRReadPermission",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:DescribeImages"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryIAMPassRolePermission",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": "arn:aws:iam::*:role/*",
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "sagemaker.amazonaws.com"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryTagReadPermission",
      "Effect": "Allow",
      "Action": [
        "tag:GetResources"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupGetPermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:GetGroupQuery"
      ],
      "Resource": "arn:aws:resource-groups:*:*:group/*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupListPermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:ListGroupResources"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupWritePermission",
      "Effect": "Allow",
      "Action": [
        "resource-groups:CreateGroup",
        "resource-groups:Tag"
      ],
      "Resource": "arn:aws:resource-groups:*:*:group/*",
      "Condition": {
        "ForAnyValue:StringEquals": {
          "aws:TagKeys": "sagemaker:collection"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceGroupDeletePermission",
      "Effect": "Allow",
      "Action": "resource-groups:DeleteGroup",
      "Resource": "arn:aws:resource-groups:*:*:group/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker:collection": "true"
        }
      }
    },
    {
      "Sid": "AmazonSageMakerModelRegistryResourceKMSPermission",
      "Effect": "Allow",
      "Action": [
        "kms:CreateGrant",
        "kms:DescribeKey",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "arn:aws:kms:*:*:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/sagemaker" : "true"
        },
        "StringLike": {
          "kms:ViaService": "sagemaker.*.amazonaws.com"
        }
      }
    }
  ]
}

Mises à jour Amazon SageMaker AI des politiques gérées par le registre de modèles

Consultez les détails des mises à jour des politiques gérées par AWS pour le registre des modèles depuis que ce service a commencé à suivre ces modifications. Pour obtenir des alertes automatiques concernant les modifications apportées à cette page, souscrivez au flux RSS sur la page d’historique des documents de SageMaker AI.

Politique Version Modification Date

AmazonSageMakerModelRegistryFullAccess : mise à jour d’une stratégie existante

2

Ajoutez les autorisation kms:CreateGrant, kms:DescribeKey, kms:GenerateDataKey, et kms:Decrypt.

 6 juin 2024

AmazonSageMakerModelRegistryFullAccess : nouvelle politique

1

Politique initiale

 12 avril 2023