Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
AWS Identity and Access Management für SageMaker HyperPod
AWS Identity and Access Management (IAM) ist ein AWS Dienst, der einem Administrator hilft, den Zugriff auf Ressourcen sicher zu AWS kontrollieren. IAM-Administratoren kontrollieren, wer authentifiziert (angemeldet) und autorisiert (mit Berechtigungen ausgestattet) werden kann, um Amazon-EKS-Ressourcen zu nutzen. IAM ist ein AWS Dienst, den Sie ohne zusätzliche Kosten nutzen können.
Wichtig
Benutzerdefinierte IAM-Richtlinien, die es Amazon SageMaker Studio oder Amazon SageMaker Studio Classic ermöglichen, SageMaker Amazon-Ressourcen zu erstellen, müssen ebenfalls Berechtigungen zum Hinzufügen von Stichwörtern zu diesen Ressourcen gewähren. Die Berechtigung zum Hinzufügen von Tags zu Ressourcen ist erforderlich, da Studio und Studio Classic automatisch alle von ihnen erstellten Ressourcen taggen. Wenn eine IAM-Richtlinie Studio und Studio Classic zwar das Erstellen von Ressourcen erlaubt, das Taggen jedoch nicht zulässt, können AccessDenied "“ -Fehler auftreten, wenn versucht wird, Ressourcen zu erstellen. Weitere Informationen finden Sie unter Stellen Sie Berechtigungen für das Taggen von SageMaker KI-Ressourcen bereit.
AWS verwaltete Richtlinien für Amazon AI SageMakerdie Berechtigungen zum Erstellen von SageMaker Ressourcen gewähren, enthalten bereits Berechtigungen zum Hinzufügen von Tags bei der Erstellung dieser Ressourcen.
Nehmen wir an, es gibt zwei Hauptebenen von SageMaker HyperPod Benutzern: Cluster-Admin-Benutzer und Data-Scientist-Benutzer.
-
Cluster-Administratoren — Sind für die Erstellung und Verwaltung von SageMaker HyperPod Clustern verantwortlich. Dazu gehören die Konfiguration der HyperPod Cluster und die Verwaltung des Benutzerzugriffs auf sie.
-
Erstellen und konfigurieren Sie SageMaker HyperPod Cluster mit Slurm oder Amazon EKS.
-
Erstellen und konfigurieren Sie IAM-Rollen für Datenwissenschaftler und HyperPod Cluster-Ressourcen.
-
Für die SageMaker HyperPod Orchestrierung mit Amazon EKS erstellen und konfigurieren Sie EKS-Zugriffseinträge, rollenbasierte Zugriffskontrolle (RBAC) und Pod Identity, um datenwissenschaftliche Anwendungsfälle abzudecken.
-
-
Datenwissenschaftsbenutzer – Konzentration auf das Training von ML-Modellen. Sie verwenden den Open-Source-Orchestrator oder die SageMaker HyperPod CLI, um Schulungsaufträge einzureichen und zu verwalten.
-
Nehmen Sie die von Cluster-Admin-Benutzern bereitgestellte IAM-Rolle an und verwenden Sie sie.
-
Interagieren Sie mit den Open-Source-Orchestrator-CLIs, die von SageMaker HyperPod (Slurm oder Kubernetes) oder der SageMaker HyperPod CLI unterstützt werden, um die Clusterkapazität zu überprüfen, eine Verbindung zum Cluster herzustellen und Workloads einzureichen.
-
Richten Sie IAM-Rollen für Cluster-Administratoren ein, indem Sie die richtigen Berechtigungen oder Richtlinien für den Betrieb von Clustern hinzufügen. SageMaker HyperPod Cluster-Administratoren sollten außerdem IAM-Rollen erstellen, um SageMaker HyperPod Ressourcen bereitzustellen, von denen sie ausgehen, dass sie die erforderlichen AWS Ressourcen ausführen und mit ihnen kommunizieren, wie Amazon S3 CloudWatch, Amazon und (SSM). AWS Systems Manager Schließlich sollten der AWS Kontoadministrator oder die Cluster-Administratoren Wissenschaftlern die Erlaubnis erteilen, auf die SageMaker HyperPod Cluster zuzugreifen und ML-Workloads auszuführen.
Je nachdem, welchen Orchestrator Sie auswählen, können die für den Cluster-Administrator und die Wissenschaftler erforderlichen Berechtigungen variieren. Sie können auch den Umfang der Berechtigungen für verschiedene Aktionen in den Rollen mithilfe der Bedingungsschlüssel pro Service steuern. Verwenden Sie die folgenden Referenzen zur Serviceautorisierung, um einen detaillierten Umfang für die Dienste hinzuzufügen, die sich auf Folgendes beziehen. SageMaker HyperPod
-
Amazon Elastic Container Registry (für SageMaker HyperPod Cluster-Orchestrierung mit Amazon EKS)
-
Amazon Elastic Kubernetes Service (für SageMaker HyperPod Cluster-Orchestrierung mit Amazon EKS)
Themen
IAM-Berechtigungen für die Clustererstellung
Für das Erstellen von HyperPod Clustern sind die im folgenden Richtlinienbeispiel beschriebenen IAM-Berechtigungen erforderlich. Wenn Sie AWS-Konto über AdministratorAccess Berechtigungen verfügen, werden diese Berechtigungen standardmäßig gewährt.
IAM-Benutzer für den Clusteradministrator
Clusteradministratoren (Admins) bedienen und konfigurieren SageMaker HyperPod Cluster und führen die Aufgaben in SageMaker HyperPod Betrieb des Slurm-Clusters aus. Das folgende Richtlinienbeispiel enthält die Mindestberechtigungen für Clusteradministratoren, um die SageMaker HyperPod Kern-APIs auszuführen und SageMaker HyperPod Cluster in Ihrem AWS Konto zu verwalten.
Anmerkung
IAM-Benutzer mit Clusteradministratorrollen können Bedingungsschlüssel verwenden, um eine granulare Zugriffskontrolle zu ermöglichen, wenn sie SageMaker HyperPod Cluster-Ressourcen speziell für die Aktionen CreateCluster und UpdateCluster verwalten. Um die für diese Aktionen unterstützten Bedingungsschlüssel zu finden, suchen Sie nach CreateCluster oder UpdateCluster in den von SageMaker AI definierten Aktionen.
Um Zugriffsberechtigungen für die SageMaker AI-Konsole zu gewähren, verwenden Sie die Beispielrichtlinie, die unter Berechtigungen für die Nutzung der Amazon SageMaker AI-Konsole erforderlich ist.
Um Zugriffsberechtigungen für die Amazon EC2 Systems Manager-Konsole zu gewähren, verwenden Sie die Beispielrichtlinie, die im AWS Systems Manager Benutzerhandbuch unter Verwenden der AWS Systems Manager Konsole beschrieben ist.
Sie könnten auch erwägen, die AmazonSageMakerFullAccess Richtlinie an die Rolle anzuhängen. Beachten Sie jedoch, dass die AmazonSageMakerFullAccess Richtlinie Berechtigungen für die gesamten SageMaker API-Aufrufe, Funktionen und Ressourcen gewährt.
Allgemeine Hinweise zu IAM-Benutzern finden Sie unter IAM-Benutzer im AWS Identity and Access Management -Benutzerhandbuch.
IAM-Benutzer für Wissenschaftler
Wissenschaftler melden sich an und führen ML-Workloads auf SageMaker HyperPod Clusterknoten aus, die von Cluster-Administratoren bereitgestellt werden. Wissenschaftlern in Ihrem AWS Konto sollten Sie die Erlaubnis erteilen, den "ssm:StartSession" SSM-Befehl auszuführen. start-session Im Folgenden finden Sie ein Beispiel für eine Richtlinie für IAM-Benutzer.
IAM-Rolle für SageMaker HyperPod
Damit SageMaker HyperPod Cluster ausgeführt werden und mit den erforderlichen AWS Ressourcen kommunizieren können, müssen Sie eine IAM-Rolle erstellen, die der HyperPod Cluster übernehmen kann.
Beginnen Sie mit dem Anfügen der verwalteten Rolle AWS verwaltete Richtlinie: AmazonSageMakerHyperPodServiceRolePolicy. Aufgrund dieser AWS verwalteten Richtlinie übernehmen SageMaker HyperPod Cluster-Instance-Gruppen die Rolle für die Kommunikation mit Amazon CloudWatch, Amazon S3 und AWS Systems Manager Agent (SSM Agent). Diese verwaltete Richtlinie ist die Mindestanforderung für den ordnungsgemäßen Betrieb von SageMaker HyperPod Ressourcen. Daher müssen Sie allen Instanzgruppen zusammen mit dieser Richtlinie eine IAM-Rolle zuweisen.
Tipp
Je nachdem, wie Sie die Berechtigungen für mehrere Instance-Gruppen gestalten möchten, können Sie auch mehrere IAM-Rollen einrichten und diese verschiedenen Instance-Gruppen zuweisen. Wenn Sie Ihren Cluster-Benutzerzugriff auf bestimmte SageMaker HyperPod Clusterknoten einrichten, übernehmen die Knoten die Rolle mit den selektiven Berechtigungen, die Sie manuell zugewiesen haben.
Wenn Sie den Zugriff für Wissenschaftler auf bestimmte Clusterknoten über AWS Systems Manager
Wenn Sie mit der Erstellung der IAM-Rollen fertig sind, notieren Sie sich deren Namen und ARNs. Sie verwenden die Rollen beim Erstellen eines SageMaker HyperPod Clusters und gewähren dabei die richtigen Berechtigungen, die für jede Instanzgruppe erforderlich sind, um mit den erforderlichen AWS Ressourcen zu kommunizieren.
