View a markdown version of this page

Crea un dominio Amazon SageMaker AI con RStudio utilizzando AWS CLI - Amazon SageMaker AI
PrerequisitiCreazione di un ruolo DomainExecutionCrea un dominio Amazon SageMaker AI con l'app RStudioVerifica della creazione del dominio

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crea un dominio Amazon SageMaker AI con RStudio utilizzando AWS CLI

Importante

Le politiche IAM personalizzate che consentono ad Amazon SageMaker Studio o Amazon SageMaker Studio Classic di creare SageMaker risorse Amazon devono inoltre concedere le autorizzazioni per aggiungere tag a tali risorse. L’autorizzazione per aggiungere tag alle risorse è necessaria perché Studio e Studio Classic applicano automaticamente tag a tutte le risorse che creano. Se una policy IAM consente a Studio e Studio Classic di creare risorse ma non consente l'etichettatura, possono verificarsi errori AccessDenied "" durante il tentativo di creare risorse. Per ulteriori informazioni, consulta Fornisci le autorizzazioni per etichettare SageMaker le risorse AI.

AWS politiche gestite per Amazon SageMaker AIche danno i permessi per creare SageMaker risorse includono già le autorizzazioni per aggiungere tag durante la creazione di tali risorse.

L'argomento seguente mostra come effettuare l'onboarding su un dominio Amazon SageMaker AI con RStudio abilitato utilizzando. AWS CLI Per effettuare l'onboarding utilizzando il Console di gestione AWS, vedi. Panoramica del dominio Amazon SageMaker AI

Prerequisiti

Creazione di un ruolo DomainExecution

Per avviare l'app RStudio, devi fornire un ruolo DomainExecution. Questo ruolo viene utilizzato per determinare se RStudio deve essere avviato come parte della creazione di domini Amazon SageMaker AI. Questo ruolo viene utilizzato anche da Amazon SageMaker AI per accedere alla licenza RStudio e inviare i log di RStudio. 

Nota

Il DomainExecution ruolo dovrebbe avere almeno AWS License Manager le autorizzazioni per accedere alla licenza RStudio e le CloudWatch autorizzazioni per inviare i log nel tuo account.

La procedura seguente mostra come creare il ruolo DomainExecution con AWS CLI.

  1. Crea un archivio denominato assume-role-policy.json con i seguenti contenuti.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "sagemaker.amazonaws.com"
                ]
            }
        }
    ]
}

  2. Crea il ruolo DomainExecution. <REGION> dovrebbe essere la Regione AWS in cui avviare il dominio. 

    aws iam create-role --region <REGION> --role-name DomainExecution --assume-role-policy-document file://assume-role-policy.json

  3. Crea un archivio denominato domain-setting-policy.json con i seguenti contenuti. Questa politica consente all' RStudioServerPro app di accedere alle risorse necessarie e consente ad Amazon SageMaker AI di avviare automaticamente un' RStudioServerPro app quando l' RStudioServerPro app esistente è in Failed stato Deleted or.

    JSON
    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "license-manager:ExtendLicenseConsumption",
                "license-manager:ListReceivedLicenses",
                "license-manager:GetLicense",
                "license-manager:CheckoutLicense",
                "license-manager:CheckInLicense",
                "logs:CreateLogDelivery",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DeleteLogDelivery",
                "logs:Describe*",
                "logs:GetLogDelivery",
                "logs:GetLogEvents",
                "logs:ListLogDeliveries",
                "logs:PutLogEvents",
                "logs:PutResourcePolicy",
                "logs:UpdateLogDelivery",
                "sagemaker:CreateApp"
            ],
            "Resource": "*"
        }
    ]
}

  4. Crea la policy di impostazione del dominio collegata al ruolo DomainExecution. Tieni presente il PolicyArn indicato nella risposta, dovrai inserire quell'ARN nelle fasi seguenti. 

    aws iam create-policy --region <REGION> --policy-name domain-setting-policy --policy-document file://domain-setting-policy.json

  5. Collega domain-setting-policy al ruolo DomainExecution. Usa il PolicyArn restituito nella fase precedente.

    aws iam attach-role-policy --role-name DomainExecution --policy-arn <POLICY_ARN>

Crea un dominio Amazon SageMaker AI con l'app RStudio

L' RStudioServerPro app viene avviata automaticamente quando crei un dominio Amazon SageMaker AI utilizzando il comando create-domain CLI con il RStudioServerProDomainSettings parametro specificato. All'avvio dell' RStudioServerPro app, Amazon SageMaker AI verifica la presenza di una licenza RStudio valida nell'account e non riesce a creare il dominio se la licenza non viene trovata.

La creazione di un dominio Amazon SageMaker AI varia in base al metodo di autenticazione e al tipo di rete. Queste opzioni devono essere utilizzate insieme, selezionando un metodo di autenticazione e un tipo di connessione di rete. Per ulteriori informazioni sui requisiti per creare un nuovo dominio, consulta CreateDomain.

Sono supportati i seguenti metodi di autenticazione.

  • IAM Auth

  • SSO Auth

Sono supportati i seguenti tipi di connessione di rete:

  • PublicInternet

  • VPCOnly

Metodi di autenticazione

Modalità di autenticazione IAM

Di seguito viene illustrato come creare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di IAM Auth rete. Per ulteriori informazioni su AWS Identity and Access Management, consulta What is IAM? .

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-id dovrebbe essere l'ID del tuo cloud privato virtuale Amazon. subnet-ids dovrebbe essere un elenco separato da spazi di ID di sottorete. Per informazioni su vpc-id e subnet-ids, consulta VPC e sottoreti.

  • RStudioPackageManagerUrl e RStudioConnectUrl sono opzionali e devono essere impostati rispettivamente sugli URL del server RStudio Package Manager e RStudio Connect.

  • app-network-access-type deve essere PublicInternetOnly o VPCOnly.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode IAM \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type <NETWORK_ACCESS_TYPE>

Autenticazione tramite il Centro identità IAM

Di seguito viene illustrato come creare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di SSO Auth rete. AWS IAM Identity Center deve essere abilitato per la regione in cui viene lanciato il dominio. Per ulteriori informazioni su IAM Identity Center, consulta What is AWS IAM Identity Center? .

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-id dovrebbe essere l'ID del tuo cloud privato virtuale Amazon. subnet-ids dovrebbe essere un elenco separato da spazi di ID di sottorete. Per informazioni su vpc-id e subnet-ids, consulta VPC e sottoreti.

  • RStudioPackageManagerUrl e RStudioConnectUrl sono opzionali e devono essere impostati rispettivamente sugli URL del server RStudio Package Manager e RStudio Connect.

  • app-network-access-type deve essere PublicInternetOnly o VPCOnly.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode SSO \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type <NETWORK_ACCESS_TYPE>

Tipi di connessione

PublicInternet/Direct tipo di rete Internet

Di seguito viene illustrato come creare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di PublicInternet rete.

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-id dovrebbe essere l'ID del tuo cloud privato virtuale Amazon. subnet-ids dovrebbe essere un elenco separato da spazi di ID di sottorete. Per informazioni su vpc-id e subnet-ids, consulta VPC e sottoreti.

  • RStudioPackageManagerUrl e RStudioConnectUrl sono opzionali e devono essere impostati rispettivamente sugli URL del server RStudio Package Manager e RStudio Connect.

  • auth-mode deve essere SSO o IAM.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode <AUTH_MODE> \
    --default-user-settings ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings RStudioServerProDomainSettings={RStudioPackageManagerUrl=<<PACKAGE_MANAGER_URL>,RStudioConnectUrl=<<CONNECT_URL>,DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids <SUBNET_IDS> \
    --app-network-access-type PublicInternetOnly

Modalità VPConly

Di seguito viene illustrato come avviare un dominio Amazon SageMaker AI con RStudio abilitato e un tipo di VPCOnly rete. Per ulteriori informazioni sull'utilizzo del tipo di accesso di rete VPCOnly, consulta Connessione dei notebook Studio in un VPC a risorse esterne.

  • DomainExecutionRoleArn dovrebbe essere l'ARN per il ruolo creato nella fase precedente.

  • ExecutionRoleè l'ARN del ruolo assegnato agli utenti nel dominio Amazon SageMaker AI.

  • vpc-id dovrebbe essere l'ID del tuo cloud privato virtuale Amazon. subnet-ids dovrebbe essere un elenco separato da spazi di ID di sottorete. La tua sottorete privata deve essere in grado di accedere a Internet per effettuare una chiamata ad Amazon SageMaker AI AWS License Manager e/o disporre di endpoint Amazon VPC per Amazon SageMaker AI e. AWS License Manager Per informazioni sugli endpoint VPC Amazon, consulta Endpoint VPC Amazon dell’interfaccia Per informazioni su vpc-id e subnet-ids, consulta VPC e sottoreti.

  • SecurityGroupsdeve consentire l'accesso in uscita all' SageMaker intelligenza artificiale e agli AWS License Manager endpoint di Amazon.

  • auth-mode deve essere SSO o IAM.

Nota

Quando utilizzi gli endpoint del cloud provato virtuale Amazon, il gruppo di sicurezza collegato agli endpoint del cloud provato virtuale Amazon deve consentire il traffico in entrata dal gruppo di sicurezza che passi come parte del parametro domain-setting della chiamata CLI create-domain.

Con RStudio, Amazon SageMaker AI gestisce i gruppi di sicurezza per te. Ciò significa che Amazon SageMaker AI gestisce le regole dei gruppi di sicurezza per garantire che le sessioni possano accedere alle RStudioServerPro app. Amazon SageMaker AI crea una regola del gruppo di sicurezza per profilo utente.

aws sagemaker create-domain --region <REGION> --domain-name <DOMAIN_NAME> \
    --auth-mode <AUTH_MODE> \
    --default-user-settings SecurityGroups=<USER_SECURITY_GROUP>,ExecutionRole=<DEFAULT_USER_EXECUTIONROLE> \
    --domain-settings SecurityGroupIds=<DOMAIN_SECURITY_GROUP>,RStudioServerProDomainSettings={DomainExecutionRoleArn=<DOMAINEXECUTION_ROLE_ARN>} \
    --vpc-id <VPC_ID> \
    --subnet-ids "<SUBNET_IDS>" \
    --app-network-access-type VPCOnly --app-security-group-management Service

Nota: l' RStudioServerPro app viene avviata da un profilo utente speciale denominatodomain-shared. Di conseguenza, questa app non viene restituita come parte delle chiamate API list-app da nessun altro profilo utente.

Potrebbe essere necessario aumentare la quota di Amazon VPC nel tuo account per aumentare il numero di utenti. Per ulteriori informazioni, consulta la pagina relativa alle quote di Amazon VPC.

Verifica della creazione del dominio

Utilizza il comando seguente per verificare che il tuo dominio sia stato creato con Status InService. domain-id viene aggiunto all’ARN dei domini. Ad esempio, arn:aws:sagemaker:<REGION>:<ACCOUNT_ID>:domain/<DOMAIN_ID>.

aws sagemaker describe-domain --domain-id <DOMAIN_ID> --region <REGION>