Einrichten von Berechtigungen für Amazon Forecast

Melden Sie sich bei der IAM-Konsole an (https://console.aws.amazon.com/iam).

Klicken Sie auf Policies (Richtlinien) und gehen Sie wie folgt vor, um die erforderliche Richtlinie zu erstellen:

1. Klicken Sie auf Richtlinie erstellen.

2. Gehen Sie auf der Seite Create policy (Richtlinie erstellen) im Richtlinien-Editor auf die Registerkarte JSON.

3. Kopieren Sie die folgende Richtlinie und ersetzen Sie den Text im Editor durch diese Richtlinie. Ersetzen Sie bucket-name durch den Namen Ihres S3-Buckets und klicken Sie auf Review policy (Richtlinie prüfen).

   {
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Action":[
               "s3:Get*",
               "s3:List*",
               "s3:PutObject"
            ],
            "Resource":[
               "arn:aws:s3:::bucket-name", 
               "arn:aws:s3:::bucket-name/*" 
            ]
         }
      ]
   }

   Klicken Sie auf Weiter: Tags

4. Optional können Sie dieser Richtlinie Tags zuweisen. Klicken Sie auf Next: Review (Weiter: Prüfen).

5. Geben Sie auf der Seite Review Policy (Richtlinie prüfen) im Feld Name (Name) einen Namen für die Richtlinie ein. Beispiel: AWSS3BucketAccess Geben Sie optional eine Beschreibung für die Richtlinie ein und klicken Sie auf Create policy (Richtlinie erstellen).

Wählen Sie im Navigationsbereich Rollen aus. Gehen Sie dann wie folgt vor, um die IAM-Rolle zu erstellen:

1. Wählen Sie Rolle erstellen aus.

2. Wählen Sie für Vertrauenswürdige Entität die Option AWS-Service aus.

   Wählen Sie für Anwendungsfall die Option Prognose aus dem Abschnitt Häufige Anwendungsfälle oder der Dropdown-Liste Anwendungsfälle für andere AWS-Services aus. Wenn Sie Prognose nicht finden können, wählen Sie EC2 aus.

   Klicken Sie auf Weiter.

3. Klicken Sie im Abschnitt Berechtigungen hinzufügen auf Weiter.

4. Geben Sie im Abschnitt Name, Überprüfung und Erstellung für Rollenname einen Namen für die Rolle ein (z. B. ForecastRole). Aktualisieren Sie die Beschreibung für die Rolle unter Role description (Rollenbeschreibung) und klicken Sie auf Create role (Rolle erstellen).

5. Sie sollten sich jetzt wieder auf der Seite Rollen befinden. Wählen Sie die neue Rolle aus, um die Detailseite der Rolle zu öffnen.

6. Kopieren Sie unter Summary (Übersicht)den Role ARN (Rollen-ARN)-Wert und speichern Sie ihn. Sie benötigen ihn, um ein Dataset in Amazon Forecast zu importieren.

7. Wenn Sie als Service für diese Rolle nicht Amazon Forecast (Amazon Forecast) ausgewählt haben, klicken Sie auf Trust relationships (Vertrauensstellungen) und dann auf Edit trust relationship (Vertrauensstellung bearbeiten), um die Vertrauensrichtlinie wie folgt zu aktualisieren.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "Service": "forecast.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:forecast:region:account-id:*"
           }
         }
       }
     ]
   }

8. [OPTIONAL] Wenn Sie einen KMS-Schlüssel zum Aktivieren der Verschlüsselung verwenden, fügen Sie den KMS-Schlüssel und den ARN an:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ForecastKMS",
               "Effect": "Allow",
               "Action": "kms:*",
               "Resource": "arn:aws:kms:region:account-id:key/KMS-key-id"
           }
       ]
   }

Erstellen Sie eine IAM-Rolle mit Amazon Forecast als vertrauenswürdiger Entität, die die Rolle für Sie übernehmen kann:

aws iam create-role \
 --role-name ForecastRole \
 --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "forecast.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "account-id"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:forecast:region:account-id:*"
        }
      }
    }
  ]
}'

Dieser Befehl geht davon aus, dass das AWS Standardkonfigurationsprofil für ein von Amazon Forecast AWS-Region unterstütztes Ziel ist. Wenn Sie ein anderes Profil (z. B. aws-forecast) für ein konfiguriert haben, AWS-Region das von Amazon Forecast nicht unterstützt wird, müssen Sie diese Konfiguration explizit angeben, indem Sie den profile Parameter in den Befehl aufnehmen, z. B. --profile aws-forecast. Weitere Informationen zum Einrichten eines AWS CLI-Konfigurationsprofils finden Sie im AWS CLI-Befehl configure.

Wenn der Befehl die Rolle erstellt hat, gibt er sie als Ausgabe zurück, die in etwa wie folgt aussieht:

{
    "Role": {
        "Path": "/",
        "RoleName": "ForecastRole",
        "RoleId": your-role-ID,
        "Arn": "arn:aws:iam::your-acct-ID:role/ForecastRole",
        "CreateDate": "creation-date",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "forecast.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "your-acct-ID"
                        },
                        "ArnLike": {
                            "aws:SourceArn": "arn:aws:forecast:region:your-acct-ID:*"
                        }
                    }
                }
            ]
        }
    }
}

Notieren Sie sich den Rollen-ARN. Sie benötigen ihn, um ein Dataset zum Schulen eines Amazon Forecast-Predictors zu importieren.

Erstellen Sie eine IAM-Richtlinie mit Berechtigungen zum Auflisten, Lesen und Schreiben von Daten in Amazon S3 und fügen Sie sie an die IAM-Rolle an, die Sie in Schritt 1 erstellt haben:

aws iam put-role-policy \
  --role-name ForecastRole \
  --policy-name ForecastBucketAccessPolicy \
  --policy-document '{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:Get*",
            "s3:List*",
            "s3:PutObject"
         ],
         "Resource":[
            "arn:aws:s3:::bucket-name", 
            "arn:aws:s3:::bucket-name/*" 
         ]
      }
   ]
}'

[OPTIONAL] Wenn Sie einen KMS-Schlüssel zum Aktivieren der Verschlüsselung verwenden, fügen Sie den KMS-Schlüssel und den ARN an:

aws iam put-role-policy \
  --role-name ForecastRole \
  --policy-name ForecastBucketAccessPolicy \
  --policy-document '{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:Get*",
            "s3:List*",
            "s3:PutObject"
         ],
         "Resource":[
            "arn:aws:s3:::bucket-name", 
            "arn:aws:s3:::bucket-name/*" 
         ]
      }
   ]
}'aws iam put-role-policy \
  --role-name ForecastRole \
  --policy-name ForecastKMSAccessPolicy \
  --policy-document ‘{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:RetireGrant"
         ],
         "Resource":[
         "arn:aws:kms:region:account-id:key/KMS-key-id"
         ]
      }
   ]
}’