Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione di una propagazione affidabile delle identità con Studio SageMaker

La procedura seguente illustra la configurazione di SageMaker Studio per la propagazione affidabile delle identità e le sessioni in background degli utenti.

Prerequisiti

Prima di iniziare con questo tutorial, devi completare le seguenti attività:

Per configurare la propagazione delle identità attendibili da SageMaker Studio, l'amministratore di SageMaker Studio deve eseguire i seguenti passaggi.

Passaggio 1: abilitare la propagazione delle identità attendibili in un dominio Studio nuovo o esistente SageMaker

SageMaker Studio utilizza i domini per organizzare i profili utente, le applicazioni e le risorse associate. Per abilitare la propagazione delle identità attendibili, è necessario creare un dominio SageMaker Studio o modificare un dominio esistente come descritto nella procedura seguente.

Passaggio 2: configura il ruolo di esecuzione del dominio predefinito e la politica di attendibilità dei ruoli

Un ruolo di esecuzione del dominio è un ruolo IAM che un dominio SageMaker Studio assume per conto di tutti gli utenti del dominio. Le autorizzazioni assegnate a questo ruolo determinano le azioni che SageMaker Studio può eseguire.

Passaggio 3: verifica le autorizzazioni Amazon S3 Access Grant richieste per il ruolo di esecuzione del dominio

Per utilizzare Amazon S3 Access Grants, devi avere una policy di autorizzazione allegata (come policy in linea o policy gestita dal cliente) al tuo ruolo di esecuzione del dominio SageMaker Studio che contenga le seguenti autorizzazioni.

{

    "Version": "2012-10-17",  

    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetDataAccess",
                "s3:GetAccessGrantsInstanceForPrefix"
                ],
            "Resource": "arn:aws:s3:us-east-2:111122223333:access-grants/default"
        }
    ]
}                            

Se non disponi di una policy che contenga queste autorizzazioni, segui le istruzioni in Aggiungere e rimuovere le autorizzazioni di identità IAM nella Guida per l'utente. AWS Identity and Access Management

Fase 4: Assegna gruppi e utenti al dominio

Assegna gruppi e utenti al dominio SageMaker Studio seguendo i passaggi in Aggiungere gruppi e utenti.

Passaggio 5: configura Amazon S3 Access Grants

Per configurare Amazon S3 Access Grants, segui i passaggi descritti in Configurazione di Amazon S3 Access Grants per una propagazione affidabile delle identità tramite IAM Identity Center. Utilizza le istruzioni dettagliate per completare le seguenti attività:

Passaggio 6: invia un lavoro di SageMaker formazione e visualizza i dettagli della sessione di background dell'utente

In SageMaker Studio, avvia un nuovo notebook Jupyter e invia un lavoro di formazione. Mentre il lavoro è in esecuzione, completa i passaggi seguenti per visualizzare le informazioni sulla sessione e verificare che il contesto della sessione in background dell'utente sia attivo.

Di seguito è riportato un esempio di come un processo di formazione che utilizza una sessione in background dell'utente viene visualizzato nella scheda Sessioni attive per un utente.

Fase 7: Visualizza i CloudTrail log per verificare la propagazione affidabile delle identità in CloudTrail

Quando la propagazione delle identità attendibili è abilitata, le azioni vengono visualizzate nei registri CloudTrail degli eventi sotto l'onBehalfOfelemento. userIdRiflette l'ID dell'utente dell'IAM Identity Center che ha avviato il processo di formazione. L' CloudTrail evento seguente illustra il processo di propagazione delle identità affidabili.

                            "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROA123456789EXAMPLE:SageMaker",
    "arn": "arn:aws:sts::111122223333:assumed-role/SageMaker-ExecutionRole-20250728T125817/SageMaker",
    "accountId": "111122223333",
    "accessKeyId": "ASIAIOSFODNN7EXAMPLE",
    "sessionContext": {
        "sessionIssuer": {
            "type": "Role",
            "principalId": "AROA123456789EXAMPLE",
            "arn": "arn:aws:iam::111122223333:role/service-role/SageMaker-ExecutionRole-20250728T125817",
            "accountId": "111122223333",
            "userName": "SageMaker-ExecutionRole-20250728T125817"
        },
        "attributes": {
            "creationDate": "2025-07-29T17:17:10Z",
            "mfaAuthenticated": "false"
        }
    },
    "onBehalfOf": {
        "userId": "2801d3e0-f0e1-707f-54e8-f558b19f0a10",
        "identityStoreArn": "arn:aws:identitystore::777788889999:identitystore/d-1234567890"
    }
},
                            
                        

Considerazioni sul runtime

Se un amministratore imposta processi MaxRuntimeInSeconds di formazione o elaborazione di lunga durata inferiori alla durata della sessione in background dell'utente, SageMaker Studio esegue il processo per la durata minima della sessione in background dell'utente MaxRuntimeInSeconds o per quella della sessione in background dell'utente.

Per ulteriori informazioni MaxRuntimeInSeconds, consulta la guida per il CreateTrainingJob StoppingCondition parametro in Amazon SageMaker API Reference.