Gewähren Sie Benutzern Berechtigungen zur Nutzung großer Datenmengen während des gesamten ML-Lebenszyklus

Navigieren Sie zu den SageMaker Amazon-Domain-Einstellungen:

1. Öffnen Sie die SageMaker Amazon-Konsole unter https://console.aws.amazon.com/sagemaker/.

2. Wählen Sie im linken Navigationsbereich die Option Domains aus.

3. Wählen Sie Ihre Domain aus.

4. Wählen Sie den Tab App-Konfigurationen.

5. Scrollen Sie zum Bereich Canvas und wählen Sie Bearbeiten.

Aktivieren Sie die Verarbeitung großer Datenmengen:

1. Aktivieren Sie im Abschnitt Konfiguration für die Verarbeitung großer Datenmengen die Option EMRServerlos für die Verarbeitung großer Datenmengen aktivieren.

2. Erstellen Sie eine EMR serverlose Rolle, oder wählen Sie sie aus:

   1. Wählen Sie Neue Ausführungsrolle erstellen und verwenden aus, um eine neue IAM Rolle zu erstellen, der eine Vertrauensbeziehung mit EMR Serverless und der zugehörigen AWS verwaltete Richtlinie: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy Richtlinie besteht. Diese IAM Rolle wird von Canvas übernommen, um EMR serverlose Jobs zu erstellen.

   2. Wenn Sie bereits über eine Ausführungsrolle mit einer Vertrauensstellung für EMR Serverless verfügen, wählen Sie alternativ die Option Bestehende Ausführungsrolle verwenden und wählen Sie Ihre Rolle aus der Dropdownliste aus.

      • Die bestehende Rolle muss einen Namen haben, der mit dem Präfix beginnt. AmazonSageMakerCanvasEMRSExecutionAccess-

      • Die von Ihnen ausgewählte Rolle sollte außerdem mindestens über die in der AWS verwaltete Richtlinie: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy Richtlinie beschriebenen Berechtigungen verfügen.

      • Die Rolle sollte über eine EMR serverlose Vertrauensrichtlinie verfügen, wie unten dargestellt:

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(Optional) Fügen Sie Amazon S3 S3-Berechtigungen für benutzerdefinierte Amazon S3 S3-Buckets hinzu:

1. Die von Canvas verwaltete Richtlinie gewährt automatisch Lese- und Schreibberechtigungen für Amazon S3 S3-Buckets mit sagemaker oder SageMaker in deren Namen. Es gewährt auch Leseberechtigungen für Objekte in benutzerdefinierten Amazon S3 S3-Buckets mit dem Tag"SageMaker": "true".

2. Für benutzerdefinierte Amazon S3 S3-Buckets ohne das erforderliche Tag fügen Sie Ihrer EMR Serverless-Rolle die folgende Richtlinie hinzu:

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Wir empfehlen, die Berechtigungen auf bestimmte Amazon S3 S3-Buckets zu beschränken, auf die Canvas zugreifen soll.

Speichern Sie Ihre Änderungen und starten Sie Ihre SageMaker Canvas-Anwendung neu.

Fügen Sie Ihrer SageMaker Amazon-Ausführungsrolle Berechtigungen für den ECR DescribeImages Amazon-Betrieb hinzu, da Canvas öffentliche Amazon ECR Docker-Images für die Datenvorbereitung und das Modelltraining verwendet:

1. Melden Sie sich bei der AWS Konsole an und öffnen Sie die IAM Konsole unter. https://console.aws.amazon.com/iam/

2. Wählen Sie Roles.

3. Suchen Sie im Suchfeld anhand des Namens nach Ihrer SageMaker Ausführungsrolle und wählen Sie sie aus.

4. Fügen Sie Ihrer SageMaker Ausführungsrolle die folgende Richtlinie hinzu. Dies kann entweder durch Hinzufügen als neue Inline-Richtlinie oder durch Anfügen der Richtlinienaussage an eine bestehende Richtlinie geschehen. Beachten Sie, dass einer IAM Rolle maximal 10 Richtlinien angehängt werden können.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

Speichern Sie Ihre Änderungen und starten Sie Ihre SageMaker Canvas-Anwendung neu.

Stellen Sie sicher, dass Ihre VPC Subnetze privat sind:

1. Stellen Sie sicher, dass die Routing-Tabelle für Ihre Subnetze keinen Eintrag enthält0.0.0.0/0, der einem Internet Gateway zugeordnet ist.

Fügen Sie Berechtigungen für die Erstellung von Netzwerkschnittstellen hinzu:

1. Wenn Sie SageMaker Canvas mit EMR Serverless für die Verarbeitung großer Datenmengen verwenden, benötigt EMR Serverless die Möglichkeit, Amazon zu erstellen, EC2 ENIs um die Netzwerkkommunikation zwischen EMR serverlosen Anwendungen und Ihren Ressourcen zu ermöglichen. VPC

2. Fügen Sie Ihrer SageMaker Amazon-Ausführungsrolle die folgende Richtlinie hinzu. Dies kann entweder geschehen, indem Sie sie als neue Inline-Richtlinie hinzufügen oder indem Sie die Richtlinienerklärung an eine bestehende Richtlinie anhängen. Beachten Sie, dass einer IAM Rolle maximal 10 Richtlinien angehängt werden können.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(Optional) Beschränken Sie die ENI Erstellung auf bestimmte Subnetze:

1. Um Ihr Setup weiter zu sichern, indem Sie die Erstellung ENIs auf bestimmte Subnetze in Ihrem beschränkenVPC, können Sie jedes Subnetz mit bestimmten Bedingungen kennzeichnen.

2. Verwenden Sie die folgende IAM Richtlinie, um sicherzustellen, dass EMR serverlose Anwendungen Amazon nur EC2 ENIs innerhalb der zulässigen Subnetze und Sicherheitsgruppen erstellen können:

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

Folgen Sie den Schritten auf der SeiteAmazon SageMaker Canvas VPC ohne Internetzugang konfigurieren, um den VPC Endpunkt für Amazon S3 festzulegen, der für EMR Serverless und andere AWS Dienste, die von SageMaker Canvas verwendet werden, erforderlich ist.

Speichern Sie Ihre Änderungen und starten Sie Ihre SageMaker Canvas-Anwendung neu.