Crea un dominio Amazon SageMaker AI con RStudio l'utilizzo di AWS CLI - Amazon SageMaker AI
PrerequisitiCreazione di un ruolo DomainExecutionCrea un dominio Amazon SageMaker AI con RStudio l'appVerifica della creazione del dominio

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crea un dominio Amazon SageMaker AI con RStudio l'utilizzo di AWS CLI

Importante

Le politiche IAM personalizzate che consentono ad Amazon SageMaker Studio o Amazon SageMaker Studio Classic di creare SageMaker risorse Amazon devono inoltre concedere le autorizzazioni per aggiungere tag a tali risorse. L’autorizzazione per aggiungere tag alle risorse è necessaria perché Studio e Studio Classic applicano automaticamente tag a tutte le risorse che creano. Se una policy IAM consente a Studio e Studio Classic di creare risorse ma non consente l'etichettatura, possono verificarsi errori AccessDenied "" durante il tentativo di creare risorse. Per ulteriori informazioni, consulta Fornisci le autorizzazioni per etichettare SageMaker le risorse AI.

AWSpolitiche gestite per Amazon SageMaker AIche danno i permessi per creare SageMaker risorse includono già le autorizzazioni per aggiungere tag durante la creazione di tali risorse.

L'argomento seguente mostra come effettuare l'onboarding nel dominio Amazon SageMaker AI con RStudio abilitato utilizzando. AWS CLI Per effettuare l'onboarding utilizzando ilConsole di gestione AWS, consulta. Panoramica del dominio Amazon SageMaker AI

Prerequisiti

Creazione di un ruolo DomainExecution

Per avviare l' RStudio app, devi fornire un DomainExecution ruolo. Questo ruolo viene utilizzato per determinare se RStudio deve essere avviato come parte della creazione di domini Amazon SageMaker AI. Questo ruolo viene utilizzato anche da Amazon SageMaker AI per accedere alla RStudio licenza e ai RStudio log push. 

Nota

Il DomainExecution ruolo deve avere almeno AWS License Manager le autorizzazioni per accedere alla RStudio licenza e le CloudWatch autorizzazioni per inviare i log nel tuo account.

La procedura seguente mostra come creare il ruolo DomainExecution con AWS CLI.

  1. Crea un archivio denominato assume-role-policy.json con i seguenti contenuti.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "sagemaker.amazonaws.com"
                ]
            }
        }
    ]
}

  2. Crea il ruolo DomainExecution. <REGION> dovrebbe essere la Regione AWS in cui avviare il dominio. 

    aws iam create-role --region <REGION> --role-name DomainExecution --assume-role-policy-document file://assume-role-policy.json

  3. Crea un archivio denominato domain-setting-policy.json con i seguenti contenuti. Questa politica consente all' RStudioServerPro app di accedere alle risorse necessarie e consente ad Amazon SageMaker AI di avviare automaticamente un' RStudioServerPro app quando l' RStudioServerPro app esistente è in Failed stato Deleted or.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "license-manager:ExtendLicenseConsumption",
                "license-manager:ListReceivedLicenses",
                "license-manager:GetLicense",
                "license-manager:CheckoutLicense",
                "license-manager:CheckInLicense",
                "logs:CreateLogDelivery",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DeleteLogDelivery",
                "logs:Describe*",
                "logs:GetLogDelivery",
                "logs:GetLogEvents",
                "logs:ListLogDeliveries",
                "logs:PutLogEvents",
                "logs:PutResourcePolicy",
                "logs:UpdateLogDelivery",
                "sagemaker:CreateApp"
            ],
            "Resource": "*"
        }
    ]
}

  4. Crea la policy di impostazione del dominio collegata al ruolo DomainExecution. Tieni presente il PolicyArn indicato nella risposta, dovrai inserire quell'ARN nelle fasi seguenti. 

    aws iam create-policy --region <REGION> --policy-name domain-setting-policy --policy-document file://domain-setting-policy.json

  5. Collega domain-setting-policy al ruolo DomainExecution. Usa il PolicyArn restituito nella fase precedente.

    aws iam attach-role-policy --role-name DomainExecution --policy-arn <POLICY_ARN>

Crea un dominio Amazon SageMaker AI con RStudio l'app

L' RStudioServerPro app viene avviata automaticamente quando crei un dominio Amazon SageMaker AI utilizzando il comando create-domain CLI con il RStudioServerProDomainSettings parametro specificato. All'avvio dell' RStudioServerPro App, Amazon SageMaker AI verifica la presenza di una RStudio licenza valida nell'account e non riesce a creare il dominio se la licenza non viene trovata.

La creazione di un dominio Amazon SageMaker AI varia in base al metodo di autenticazione e al tipo di rete. Queste opzioni devono essere utilizzate insieme, selezionando un metodo di autenticazione e un tipo di connessione di rete. Per ulteriori informazioni sui requisiti per creare un nuovo dominio, consulta CreateDomain.

Sono supportati i seguenti metodi di autenticazione.

  • IAM Auth

  • SSO Auth

Sono supportati i seguenti tipi di connessione di rete:

  • PublicInternet

  • VPCOnly

Metodi di autenticazione

Modalità di autenticazione IAM

Di seguito viene illustrato come creare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di IAM Auth rete. Per ulteriori informazioni suAWS Identity and Access Management, consulta Cos'è IAM? .

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-iddovrebbe essere l'ID del tuo Amazon Virtual Private Cloud. subnet-idsdovrebbe essere un elenco di sottoreti separato da spazi. IDs Per informazioni su vpc-id andsubnet-ids, consulta VPCs and subnet.

  • RStudioPackageManagerUrle RStudioConnectUrl sono opzionali e devono essere impostati rispettivamente sul server RStudio Package Manager e RStudio Connect. URLs

  • app-network-access-type deve essere PublicInternetOnly o VPCOnly.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode IAM \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type <NETWORK_ACCESS_TYPE>

Autenticazione tramite il Centro identità IAM

Di seguito viene illustrato come creare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di SSO Auth rete. AWS IAM Identity Centerdeve essere abilitato per la regione in cui viene lanciato il dominio. Per ulteriori informazioni su IAM Identity Center, consulta What isAWS IAM Identity Center? .

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-iddovrebbe essere l'ID del tuo Amazon Virtual Private Cloud. subnet-idsdovrebbe essere un elenco di sottoreti separato da spazi. IDs Per informazioni su vpc-id andsubnet-ids, consulta VPCs and subnet.

  • RStudioPackageManagerUrle RStudioConnectUrl sono opzionali e devono essere impostati rispettivamente sul server RStudio Package Manager e RStudio Connect. URLs

  • app-network-access-type deve essere PublicInternetOnly o VPCOnly.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode SSO \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type <NETWORK_ACCESS_TYPE>

Tipi di connessione

PublicInternet/Tipo di rete Internet diretta

Di seguito viene illustrato come creare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di PublicInternet rete.

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-iddovrebbe essere l'ID del tuo Amazon Virtual Private Cloud. subnet-idsdovrebbe essere un elenco di sottoreti separato da spazi. IDs Per informazioni su vpc-id andsubnet-ids, consulta VPCs and subnet.

  • RStudioPackageManagerUrle RStudioConnectUrl sono opzionali e devono essere impostati rispettivamente sul server RStudio Package Manager e RStudio Connect. URLs

  • auth-mode deve essere SSO o IAM.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode <AUTH_MODE> \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type PublicInternetOnly

VPCOnly mode

Di seguito viene illustrato come avviare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di VPCOnly rete. Per ulteriori informazioni sull'utilizzo del tipo di accesso di rete VPCOnly, consulta Connessione dei notebook Studio in un VPC a risorse esterne.

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-iddovrebbe essere l'ID del tuo Amazon Virtual Private Cloud. subnet-idsdovrebbe essere un elenco di sottoreti separato da spazi. IDs La tua sottorete privata deve essere in grado di accedere a Internet per effettuare una chiamata ad Amazon SageMaker AI AWS License Manager e/o disporre di endpoint Amazon VPC per Amazon SageMaker AI e. AWS License Manager Per informazioni sugli endpoint Amazon VPC, consulta Interface Amazon VPC endpoints Per informazioni su vpc-id and, see and subnet. subnet-ids VPCs

  • SecurityGroupsdeve consentire l'accesso in uscita all' SageMaker intelligenza artificiale e agli AWS License Manager endpoint di Amazon.

  • auth-mode deve essere SSO o IAM.

Nota

Quando utilizzi gli endpoint del cloud provato virtuale Amazon, il gruppo di sicurezza collegato agli endpoint del cloud provato virtuale Amazon deve consentire il traffico in entrata dal gruppo di sicurezza che passi come parte del parametro domain-setting della chiamata CLI create-domain.

Con RStudio Amazon SageMaker AI gestisce i gruppi di sicurezza per te. Ciò significa che Amazon SageMaker AI gestisce le regole dei gruppi di sicurezza per garantire RSessions l'accesso alle RStudio ServerPro app. Amazon SageMaker AI crea una regola del gruppo di sicurezza per profilo utente.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode <AUTH_MODE> \
    --default-user-settings SecurityGroups=<USER_SECURITY_GROUP>,ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings SecurityGroupIds=<DOMAIN_SECURITY_GROUP>,RStudioServerProDomainSettings={DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids "<SUBNET_IDS>" \
    --app-network-access-type VPCOnly --app-security-group-management Service

Nota: l' RStudioServerPro app viene avviata da un profilo utente speciale denominatodomain-shared. Di conseguenza, questa app non viene restituita come parte delle chiamate API list-app da nessun altro profilo utente.

Potrebbe essere necessario aumentare la quota di Amazon VPC nel tuo account per aumentare il numero di utenti. Per ulteriori informazioni, consulta la pagina relativa alle quote di Amazon VPC.

Verifica della creazione del dominio

Utilizza il comando seguente per verificare che il tuo dominio sia stato creato con Status InService. domain-id viene aggiunto all’ARN dei domini. Ad esempio, arn:aws:sagemaker:<REGION>:<ACCOUNT_ID>:domain/<DOMAIN_ID>.

aws sagemaker describe-domain --domain-id <DOMAIN_ID> --region <REGION>