Concessione di autorizzazioni agli utenti per utilizzare grandi quantità di dati nel ciclo di vita di ML

Passa alle impostazioni del dominio Amazon SageMaker AI:

1. Apri la console Amazon SageMaker AI all'indirizzo https://console.aws.amazon.com/sagemaker/.

2. Nel riquadro di navigazione a sinistra, scegli Domains (Domini).

3. Scegli il tuo dominio.

4. Scegli la scheda Configurazioni app.

5. Scorri fino alla sezione Canvas e scegli Modifica.

Abilita l’elaborazione di grandi quantità di dati:

1. Nella sezione Configurazione di elaborazione di grandi quantità di dati, attiva Abilita EMR Serverless per l’elaborazione di grandi quantità di dati.

2. Crea o seleziona un ruolo EMR Serverless:

   1. Scegli Crea e utilizza un nuovo ruolo di esecuzione per creare un nuovo ruolo IAM che abbia una relazione di attendibilità con EMR Serverless e la policy AWSpolitica gestita: AmazonSageMakerCanvas EMRServerless ExecutionRolePolicy collegata. Questo ruolo IAM viene assunto da Canvas per creare processi EMR Serverless.

   2. In alternativa, se hai già un ruolo di esecuzione con una relazione di attendibilità per EMR Serverless, seleziona Utilizza un ruolo di esecuzione esistente e scegli il ruolo dall’elenco a discesa.

      • Il nome del ruolo esistente deve iniziare con il prefisso AmazonSageMakerCanvasEMRSExecutionAccess-.

      • Inoltre, il ruolo selezionato deve avere almeno le autorizzazioni descritte nella policy AWSpolitica gestita: AmazonSageMakerCanvas EMRServerless ExecutionRolePolicy.

      • Il ruolo deve avere una policy di attendibilità EMR Serverless, come illustrato di seguito:

        JSON

        {
            "Version":"2012-10-17",		 	 	 
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "111122223333"
                        }
                    }
                }
            ]
        }
        

(Facoltativo) Aggiungi le autorizzazioni Amazon S3 per i bucket Amazon S3 personalizzati:

1. La policy gestita da Canvas concede automaticamente le autorizzazioni di lettura e scrittura per i bucket Amazon S3 con sagemaker o SageMaker AI nel nome. Concede inoltre le autorizzazioni di lettura per gli oggetti nei bucket Amazon S3 personalizzati con il tag "SageMaker": "true".

2. Per i bucket Amazon S3 personalizzati senza il tag richiesto, aggiungi la policy seguente al tuo ruolo EMR Serverless:

3. JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }
   

4. Ti consigliamo di limitare le autorizzazioni agli specifici bucket Amazon S3 a cui desideri che Canvas acceda.

Salva le modifiche e riavvia l'applicazione SageMaker Canvas.

Aggiungi le autorizzazioni per l'DescribeImagesoperazione Amazon ECR al tuo ruolo di esecuzione di Amazon SageMaker AI, poiché Canvas utilizza immagini Docker pubbliche di Amazon ECR per la preparazione dei dati e l'addestramento dei modelli:

1. Accedi alla AWS console e apri la console IAM all'indirizzo. https://console.aws.amazon.com/iam/

2. Scegli Ruoli.

3. Nella casella di ricerca, cerca il tuo ruolo di esecuzione SageMaker AI per nome e selezionalo.

4. Aggiungi la seguente policy al tuo ruolo di esecuzione dell' SageMaker IA. Per farlo, puoi aggiungerla come nuova policy inline oppure puoi aggiungere l’istruzione di policy a una policy esistente. Tieni presente che a un ruolo IAM può essere collegato al massimo a dieci policy.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }
   

Salva le modifiche e riavvia l'applicazione SageMaker Canvas.

Assicurati che le sottoreti VPC siano private:

1. Verifica che la tabella di routing per le sottoreti non abbia una mappatura delle voci 0.0.0.0/0 a un gateway Internet.

Aggiungi le autorizzazioni per la creazione di interfacce di rete:

1. Quando si utilizza SageMaker Canvas con EMR Serverless per l'elaborazione di dati su larga scala, EMR Serverless richiede la possibilità di creare Amazon per EC2 ENIs abilitare la comunicazione di rete tra le applicazioni EMR Serverless e le risorse VPC.

2. Aggiungi la seguente policy al tuo ruolo di esecuzione di Amazon SageMaker AI. Per farlo, puoi aggiungerla come nuova policy inline oppure puoi aggiungere l’istruzione di policy a una policy esistente. Tieni presente che a un ruolo IAM può essere collegato al massimo a dieci policy.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }
   

(Facoltativo) Limita la creazione di ENI a sottoreti specifiche:

1. Per proteggere ulteriormente la tua configurazione limitando la creazione di determinate sottoreti ENIs all'interno del tuo VPC, puoi etichettare ogni sottorete con condizioni specifiche.

2. Utilizza la seguente policy IAM per garantire che le applicazioni EMR Serverless possano creare Amazon solo EC2 ENIs all'interno delle sottoreti e dei gruppi di sicurezza consentiti:

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

Segui i passaggi indicati nella pagina Configura Amazon SageMaker Canvas in un VPC senza accesso a Internet per impostare l'endpoint VPC per Amazon S3, richiesto da EMR Serverless e da altri servizi utilizzati da Canvas. AWS SageMaker

Salva le modifiche e riavvia l'applicazione Canvas. SageMaker