Migration de l’interface utilisateur de Studio Classic vers Studio

1. Obtenez l’ID de domaine de votre domaine existant.

   1. Ouvrez la console Amazon SageMaker AI à l’adresse https://console.aws.amazon.com/sagemaker/.

   2. Dans le panneau de navigation de gauche, développez Configurations d’administrateur et choisissez Domaines.

   3. Choisissez le domaine existant.

   4. Sur la page Détails du domaine, choisissez l’onglet Paramètres du domaine.

   5. Copiez l’ID de domaine.

2. Ajoutez l’ID de domaine de votre domaine existant.

   export REF_DOMAIN_ID="domain-id"
   export SM_REGION="region"

3. Utilisez describe-domain pour obtenir des informations importantes sur le domaine existant.

   export REF_EXECROLE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.ExecutionRole')
   export REF_VPC=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.VpcId')
   export REF_SIDS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.SubnetIds | join(",")')
   export REF_SGS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.SecurityGroups | join(",")')
   export AUTHMODE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.AuthMode')

4. Validez les paramètres.

   echo "Execution Role: $REF_EXECROLE || VPCID: $REF_VPC || SubnetIDs: $REF_SIDS || Security GroupIDs: $REF_SGS || AuthMode: $AUTHMODE"

5. Créez un domaine de test en utilisant les configurations du domaine existant.

   IFS=',' read -r -a subnet_ids <<< "$REF_SIDS"
   IFS=',' read -r -a security_groups <<< "$REF_SGS"
   security_groups_json=$(printf '%s\n' "${security_groups[@]}" | jq -R . | jq -s .)
   
   aws sagemaker create-domain \
   --domain-name "TestV2Config" \
   --vpc-id $REF_VPC \
   --auth-mode $AUTHMODE \
   --subnet-ids "${subnet_ids[@]}" \
   --app-network-access-type VpcOnly \
   --default-user-settings "
   {
       \"ExecutionRole\": \"$REF_EXECROLE\",
       \"StudioWebPortal\": \"ENABLED\",
       \"DefaultLandingUri\": \"studio::\",
       \"SecurityGroups\": $security_groups_json
   }
   "

6. Une fois le domaine de test In Service, utilisez l’ID du domaine de test pour créer un profil utilisateur. Ce profil utilisateur est utilisé pour lancer et tester des applications.

   aws sagemaker create-user-profile \
   --region="$SM_REGION" --domain-id=test-domain-id \
   --user-profile-name test-network-user

1. Ajoutez l’ID du domaine de test.

   export TEST_DOMAIN="test-domain-id"
   export SM_REGION="region"

2. Répertoriez toutes les applications figurant dans le domaine qui sont en cours d’exécution.

   active_apps_json=$(aws sagemaker list-apps --region=$SM_REGION --domain-id=$TEST_DOMAIN)
   echo $active_apps_json

3. Analysez la liste JSON des applications en cours d’exécution et supprimez-les. Si les utilisateurs ont tenté de créer une application pour laquelle ils n’ont pas d’autorisations, il est possible que certains espaces ne soient pas capturés dans le script suivant. Vous devez supprimer manuellement ces espaces.

   echo "$active_apps_json" | jq -c '.Apps[]' | while read -r app;
   do
       if echo "$app" | jq -e '. | has("SpaceName")' > /dev/null;
       then
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           space_name=$(echo "$app" | jq -r '.SpaceName')
   
           echo "Deleting App - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --space-name $space_name
   
           echo "Deleting Space - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-space --region=$SM_REGION --domain-id=$domain_id \
           --space-name $space_name
       else
   
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           user_profile_name=$(echo "$app" | jq -r '.UserProfileName')
   
           echo "Deleting Studio Classic - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || UserProfileName: $user_profile_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --user-profile-name $user_profile_name
   
       fi
   
   done

4. Supprimez le profil utilisateur de test.

   aws sagemaker delete-user-profile \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN \
   --user-profile-name "test-network-user"

5. Supprimez le domaine de test.

   aws sagemaker delete-domain \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN

1. Ouvrez la console Amazon SageMaker AI à l’adresse https://console.aws.amazon.com/sagemaker/.

2. Dans le panneau de navigation de gauche, développez Configurations d’administrateur et choisissez Domaines.

3. Choisissez le domaine existant pour lequel vous souhaitez activer Studio comme expérience par défaut.

4. Sur la page Détails du domaine, développez Activer le nouveau Studio.

5. (Facultatif) Pour afficher les détails des étapes nécessaires à l’activation de Studio comme expérience par défaut, choisissez Afficher les détails. La page affiche les éléments suivants.

   • Dans la section Présentation de SageMaker Studio, vous pouvez voir les applications incluses ou disponibles dans l’interface Web de Studio.

   • Dans la section Processus d’habilitation, vous pouvez consulter les descriptions des tâches de flux de travail permettant d’activer Studio.

     Note

     Vous devrez migrer vos données manuellement. Pour obtenir des instructions sur la migration de vos données, consultez (Facultatif) Migration des données de Studio Classic vers Studio.

   • Dans la section Rétablir l’expérience Studio Classic, vous pouvez voir comment revenir à Studio Classic après avoir activé Studio comme expérience par défaut.

6. Pour commencer le processus d’activation de Studio comme expérience par défaut, choisissez Activer le nouveau Studio.

7. Dans la section Spécifier et configurer le rôle, vous pouvez consulter les applications par défaut qui sont automatiquement incluses dans Studio.

   Pour empêcher les utilisateurs d’exécuter ces applications, choisissez le rôle AWS Identity and Access Management (IAM) dont la politique IAM refuse l’accès. Pour en savoir plus sur la façon de créer une stratégie pour limiter l’accès, consultez Étape 1 : Mise à jour des autorisations de création d’applications.

8. Dans la section Choisir le compartiment S3 par défaut pour attacher la politique CORS, vous pouvez autoriser Studio à accéder aux compartiments Amazon S3. Le compartiment Amazon S3 par défaut, dans ce cas, est le compartiment Amazon S3 par défaut pour votre environnement Studio Classic. Dans cette étape, vous pouvez effectuer les opérations suivantes :

   • Vérifiez le compartiment Amazon S3 par défaut du domaine auquel attacher la politique CORS. Si votre domaine ne possède pas de compartiment Amazon S3 par défaut, SageMaker AI crée un compartiment Amazon S3 avec la politique CORS appropriée attachée.

   • Vous pouvez inclure 10 compartiments Amazon S3 supplémentaires auxquels attacher la politique CORS.

     Si vous souhaitez inclure plus de 10 compartiments, vous pouvez les ajouter manuellement. Pour plus d’informations sur la façon d’attacher manuellement la politique CORS à vos compartiments Amazon S3, consultez (Facultatif) Mise à jour de votre politique CORS pour accéder aux compartiments Amazon S3.

   Pour continuer, cochez la case à côté de Acceptez-vous de remplacer toute politique CORS existante sur les compartiments Amazon S3 sélectionnés ?

9. La section Migrer les données contient des informations sur les différents volumes de stockage de données pour Studio Classic et Studio. Vos données ne seront pas migrées automatiquement via ce processus. Pour obtenir des instructions sur la migration de vos données, les configurations de cycle de vie et les extensions JupyterLab, consultez (Facultatif) Migration des données de Studio Classic vers Studio.

10. Une fois que vous avez terminé les tâches de la page et vérifié votre configuration, choisissez Activer le nouveau Studio.

Pour ajouter une configuration CORS à un compartiment Amazon S3

1. Vérifiez qu’il existe un compartiment Amazon S3 dans la même Région AWS que le domaine existant portant le nom suivant. Pour obtenir des instructions, consultez Visualisation des propriétés d’un compartiment Amazon S3.

   sagemaker-region-account-id

2. Ajoutez une configuration CORS avec le contenu suivant au compartiment Amazon S3 par défaut. Pour obtenir des instructions, consultez Configuration du partage des ressources entre origines multiples (CORS).

   [
       {
           "AllowedHeaders": [
               "*"
           ],
           "AllowedMethods": [
               "POST",
               "PUT",
               "GET",
               "HEAD",
               "DELETE"
           ],
           "AllowedOrigins": [
               "https://*.sagemaker.aws"
           ],
           "ExposeHeaders": [
               "ETag",
               "x-amz-delete-marker",
               "x-amz-id-2",
               "x-amz-request-id",
               "x-amz-server-side-encryption",
               "x-amz-version-id"
           ]
       }
   ]

Pour accorder des autorisations pour les fonctionnalités de Data Wrangler dans Canvas

1. Attachez la politique AmazonSageMakerFullAccess gérée par AWS au rôle IAM de votre utilisateur. Pour une procédure expliquant comment attacher des politiques IAM à un rôle, consultez Ajout des autorisations d’identité IAM (console) dans le Guide de l’utilisateur AWS IAM.

   Si cette politique d’autorisation est trop permissive pour votre cas d’utilisation, vous pouvez créer des politiques délimitées qui incluent au moins les autorisations suivantes :

   {
       "Sid": "AllowStudioActions",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreatePresignedDomainUrl",
           "sagemaker:DescribeDomain",
           "sagemaker:ListDomains",
           "sagemaker:DescribeUserProfile",
           "sagemaker:ListUserProfiles",
           "sagemaker:DescribeSpace",
           "sagemaker:ListSpaces",
           "sagemaker:DescribeApp",
           "sagemaker:ListApps"
       ],
       "Resource": "*"
   },
   {
       "Sid": "AllowAppActionsForUserProfile",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreateApp",
           "sagemaker:DeleteApp"
       ],
       "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/canvas/*",
       "Condition": {
           "Null": {
               "sagemaker:OwnerUserProfileArn": "true"
           }
       }
   }

2. Attachez la politique AmazonSageMakerCanvasDataPrepFullAccess gérée par AWS au rôle IAM de votre utilisateur.

Pour attacher des politiques IAM à un rôle d’exécution

1. Recherchez le rôle d’exécution attaché à votre profil utilisateur SageMaker AI

   1. Dans la console SageMaker AI https://console.aws.amazon.com/sagemaker/, accédez à Domaines, puis choisissez votre domaine SageMaker AI.

   2. L’ARN du rôle d’exécution est répertorié sous Rôle d’exécution sur la page Détails de l’utilisateur de votre profil utilisateur. Notez le nom du rôle d’exécution dans l’ARN.

   3. Dans la console IAM à l’adresse https://console.aws.amazon.com/iam/, choisissez Rôles.

   4. Recherchez votre rôle par nom dans le champ de recherche.

   5. Sélectionnez le rôle.

2. Ajoutez des politiques au rôle

   1. Dans la console IAM à l’adresse https://console.aws.amazon.com/iam/, choisissez Rôles.

   2. Recherchez votre rôle par nom dans le champ de recherche.

   3. Sélectionnez le rôle.

   4. Dans l’onglet Autorisations, accédez au menu déroulant Ajouter des autorisations.

   5. • Pour les politiques gérées : sélectionnez Attacher des politiques, recherchez le nom de la politique gérée que vous souhaitez attacher.

        Sélectionnez la politique, puis choisissez Ajouter des autorisations.

      • Pour les politiques intégrées : sélectionnez Créer une politique en ligne, collez votre politique dans l’onglet JSON, choisissez Suivant, nommez votre politique, puis choisissez Créer.