Wie verwendet man SageMaker AI-Ausführungsrollen

Amazon SageMaker AI führt Operationen in Ihrem Namen mithilfe anderer AWS Dienste durch. Sie müssen SageMaker KI Berechtigungen zur Nutzung dieser Dienste und der Ressourcen, auf die sie zurückgreifen, erteilen. Sie gewähren SageMaker KI diese Berechtigungen mithilfe einer AWS Identity and Access Management (IAM-) Ausführungsrolle. Weitere Informationen zu IAM-Rollen finden Sie unter IAM-Rollen.

Verwenden Sie zum Erstellen und Verwenden einer Ausführungsrolle die folgenden Verfahren.

Erstellen einer Ausführungsrolle

Gehen Sie wie folgt vor, um eine Ausführungsrolle mit der angehängten IAM-verwalteten Richtlinie, AmazonSageMakerFullAccess, zu erstellen. Wenn Ihr Anwendungsfall detailliertere Berechtigungen erfordert, verwenden Sie andere Abschnitte auf dieser Seite, um eine Ausführungsrolle zu erstellen, die Ihren Geschäftsanforderungen entspricht. Sie können eine Ausführungsrolle mithilfe der SageMaker AI-Konsole oder der AWS CLI erstellen.

So erstellen Sie eine neue Ausführungsrolle über die SageMaker AI-Konsole

Um eine neue Ausführungsrolle aus dem AWS CLI zu erstellen

Bevor Sie eine Ausführungsrolle mithilfe der erstellen, stellen Sie sicher AWS CLI, dass Sie sie aktualisieren und konfigurieren(Optional) Konfigurieren Sie AWS CLI, indem Sie den Anweisungen unter folgen. Fahren Sie dann mit den Anweisungen unter fortBenutzerdefiniertes Setup mit dem AWS CLI.

Sobald Sie eine Ausführungsrolle erstellt haben, können Sie sie einer SageMaker AI-Domäne, einem Benutzerprofil oder einer Jupyter-Notebook-Instanz zuordnen.

Sie können auch den ARN einer Ausführungsrolle an Ihren API-Aufruf übergeben. Mit dem Amazon SageMaker Python SDK können Sie beispielsweise den ARN Ihrer Ausführungsrolle an einen Schätzer übergeben. Im folgenden Codebeispiel erstellen wir mithilfe des XGBoost Algorithmuscontainers einen Schätzer und übergeben den ARN der Ausführungsrolle als Parameter. Das vollständige Beispiel finden Sie unter Prognose der GitHub Kundenabwanderung mit. XGBoost

import sagemaker, boto3
from sagemaker import image_uris

sess = sagemaker.Session()
region = sess.boto_region_name
bucket = sess.default_bucket()
prefix = "sagemaker/DEMO-xgboost-churn"
container = sagemaker.image_uris.retrieve("xgboost", region, "1.7-1")

xgb = sagemaker.estimator.Estimator(
    container,
    execution-role-ARN,
    instance_count=1,
    instance_type="ml.m4.xlarge",
    output_path="s3://{}/{}/output".format(bucket, prefix),
    sagemaker_session=sess,
)

...

Zusätzliche Amazon S3 S3-Berechtigungen zu einer SageMaker KI-Ausführungsrolle hinzufügen

Wenn Sie eine SageMaker KI-Funktion mit Ressourcen in Amazon S3 verwenden, wie z. B. Eingabedaten, wird die Ausführungsrolle, die Sie in Ihrer Anfrage angeben (zum BeispielCreateTrainingJob), für den Zugriff auf diese Ressourcen verwendet.

Wenn Sie die von IAM verwaltete Richtlinie, AmazonSageMakerFullAccess, an eine Ausführungsrolle anhängen, hat diese Rolle die Berechtigung, bestimmte Amazon S3-Aktionen für Buckets oder Objekte mit SageMaker, Sagemaker, sagemaker oder aws-glue im Namen auszuführen. Es ist auch berechtigt, die folgenden Aktionen auf jeder Amazon S3-Ressource durchzuführen:

"s3:CreateBucket", 
"s3:GetBucketLocation",
"s3:ListBucket",
"s3:ListAllMyBuckets",
"s3:GetBucketCors",
"s3:PutBucketCors"

Um einer Ausführungsrolle Berechtigungen für den Zugriff auf einen oder mehrere bestimmte Buckets in Amazon S3 zu erteilen, können Sie der Rolle eine Richtlinie ähnlich der folgenden hinzufügen. Diese Richtlinie gewährt einer IAM-Rolle die Berechtigung, alle Aktionen auszuführen, die diesen Zugriff auf die Buckets AmazonSageMakerFullAccess amzn-s3-demo-bucket1 und amzn-s3-demo-bucket2 ermöglichen, aber einschränken. Weitere Informationen zu den für diese Funktion erforderlichen Amazon S3 S3-Berechtigungen finden Sie in der Sicherheitsdokumentation der jeweiligen SageMaker KI-Funktion, die Sie verwenden.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:AbortMultipartUpload"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1/*",
                "arn:aws:s3:::amzn-s3-demo-bucket2/*"
            ]
        }, 
        {
            "Effect": "Allow",
            "Action": [
                "s3:CreateBucket",
                "s3:GetBucketLocation",
                "s3:ListBucket",
                "s3:ListAllMyBuckets",
                "s3:GetBucketCors",
                "s3:PutBucketCors"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketAcl",
                "s3:PutObjectAcl"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket1",
                "arn:aws:s3:::amzn-s3-demo-bucket2"
            ]
        }
    ]
}

Holen Sie sich Ihre Ausführungsrolle

Sie können die SageMaker AI-Konsole, das Amazon SageMaker Python SDK oder das verwenden, AWS CLIum den ARN und den Namen der Ausführungsrolle abzurufen, die einer SageMaker AI-Domäne, einem Bereich oder einem Benutzerprofil zugeordnet ist.

Holen Sie sich die Domain-Ausführungsrolle

Im Folgenden finden Sie Anweisungen zur Suche nach der Ausführungsrolle Ihrer Domain.

Rufen Sie die Space-Ausführungsrolle ab

Im Folgenden finden Sie Anweisungen, wie Sie die Ausführungsrolle Ihres Spaces ermitteln können.

from sagemaker import get_execution_role
role = get_execution_role()
print(role)

Ruft die Ausführungsrolle des Benutzers ab

Im Folgenden finden Sie Anweisungen zur Suche nach der Ausführungsrolle eines Benutzers.

aws sts get-caller-identity

Ändern Sie Ihre Ausführungsrolle

Eine Ausführungsrolle ist eine IAM-Rolle, die eine SageMaker KI-Identität (wie ein SageMaker KI-Benutzer, ein Bereich oder eine Domäne) annimmt. Wenn Sie die IAM-Rolle ändern, ändern sich die Berechtigungen für alle Identitäten, die diese Rolle übernehmen.

Wenn Sie eine Ausführungsrolle ändern, ändert sich auch die Ausführungsrolle des entsprechenden Bereichs. Es kann einige Zeit dauern, bis sich die Auswirkungen der Änderung ausbreiten.

Weitere Informationen zu Ausführungsrollen und Spaces finden Sie unterGrundlegendes zu Domainbereichsberechtigungen und Ausführungsrollen.

Sie können die Ausführungsrolle für eine Identität in eine andere IAM-Rolle ändern, indem Sie eine der folgenden Anweisungen verwenden.

Wenn Sie stattdessen eine Rolle ändern möchten, die eine Identität annimmt, finden Sie Ändern Sie die Berechtigungen für die Ausführungsrolle weitere Informationen unter.

Ändern Sie die standardmäßige Ausführungsrolle der Domäne

Im Folgenden finden Sie Anweisungen zum Ändern der standardmäßigen Ausführungsrolle Ihrer Domain.

Ändern Sie die standardmäßige Ausführungsrolle von Space

Im Folgenden finden Sie Anweisungen zum Ändern der Standard-Ausführungsrolle Ihres Spaces. Wenn Sie diese Ausführungsrolle ändern, ändert sich auch die Rolle, die von allen gemeinsam genutzten Bereichen in der Domäne eingenommen wird.

Ändern Sie die Ausführungsrolle des Benutzerprofils

Im Folgenden finden Sie Anweisungen zum Ändern der Ausführungsrolle eines Benutzers. Wenn Sie diese Ausführungsrolle ändern, ändert sich auch die Rolle, die von allen privaten Bereichen übernommen wird, die von diesem Benutzer erstellt wurden.

Ändern Sie die Berechtigungen für die Ausführungsrolle

Sie können bestehende Berechtigungen für die Ausführungsrolle einer Identität (z. B. eines SageMaker KI-Benutzers, eines Bereichs oder einer Domäne) ändern. Dazu müssen Sie die entsprechende IAM-Rolle finden, die die Identität annimmt, und dann diese IAM-Rolle ändern. Im Folgenden finden Sie Anweisungen, wie Sie dies über die Konsole erreichen können.

Wenn Sie eine Ausführungsrolle ändern, ändert sich auch die Ausführungsrolle des entsprechenden Bereichs. Die Änderung wirkt sich möglicherweise nicht unmittelbar aus.

Weitere Informationen zu Ausführungsrollen und Bereichen finden Sie unterGrundlegendes zu Domainbereichsberechtigungen und Ausführungsrollen.

Wenn Sie stattdessen eine Rolle ändern möchten, die eine Identität annimmt, finden Sie unterÄndern Sie Ihre Ausführungsrolle.

Rollen weitergeben

Aktionen wie die Übertragung einer Rolle zwischen Diensten sind eine übliche Funktion innerhalb von SageMaker KI. Weitere Informationen zu Aktionen, Ressourcen und Bedingungsschlüsseln für SageMaker KI finden Sie in der Service Authorization Reference.

Sie übergeben die Rolle (iam:PassRole), wenn Sie diese API-Aufrufe tätigen: CreateAutoMLJobCreateCompilationJobCreateDomainCreateFeatureGroup, CreateFlowDefiniton, CreateHyperParameterTuningJob, CreateImage, CreateLabelingJob, CreateModel, CreateMonitoringSchedule, CreateNotebookInstance, CreateProcessingJob, CreateTrainingJob, CreateUserProfile, RenderUiTemplate, UpdateImage, und UpdateNotebookInstance.

Sie fügen der IAM-Rolle die folgende Vertrauensrichtlinie hinzu, die SageMaker AI-Prinzipalberechtigungen zur Übernahme der Rolle gewährt. Sie gilt für alle Ausführungsrollen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "sagemaker.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

Die Berechtigungen, die der Rolle erteilt werden müssen, hängen von der aufgerufenen API ab. Die folgenden Abschnitte erläutern diese Berechtigungen.

Weitere Informationen zu IAM-Rollen finden Sie unter IAM-Rollen in der Serviceautorisierungsreferenz.

CreateAutoMLJob und CreateAuto MLJob V2-API: Berechtigungen für Ausführungsrollen

Für eine Ausführungsrolle, die Sie in einer CreateAutoMLJob oder CreateAutoMLJobV2 API-Anfrage übergeben können, können Sie der Rolle die folgende Mindestberechtigungsrichtlinie zuordnen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "sagemaker.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeEndpointConfig",
                "sagemaker:DescribeModel",
                "sagemaker:InvokeEndpoint",
                "sagemaker:ListTags",
                "sagemaker:DescribeEndpoint",
                "sagemaker:CreateModel",
                "sagemaker:CreateEndpointConfig",
                "sagemaker:CreateEndpoint",
                "sagemaker:DeleteModel",
                "sagemaker:DeleteEndpointConfig",
                "sagemaker:DeleteEndpoint",
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "*"
        }
    ]
}

Wenn Sie eine private VPC für Ihren AutoML-Auftrag angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}

Wenn Ihre Eingabe serverseitig mit einem von AWS KMS verwalteten Schlüssel (SSE-KMS) verschlüsselt wird, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Wenn Sie einen KMS-Schlüssel in der Ausgabekonfiguration Ihres AutoML-Auftrags angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Wenn Sie einen Volume-KMS-Schlüssel in der Ressourcenkonfiguration Ihres AutoML-Auftrags angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateDomain API: Berechtigungen für die Ausführungsrolle

Die Ausführungsrolle für Domänen mit IAM Identity Center und die Benutzer-/Ausführungsrolle für IAM-Domänen benötigen die folgenden Berechtigungen, wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel KmsKeyId in der API-Anfrage übergeben. CreateDomain Die Berechtigungen werden während des CreateApp API-Aufrufs durchgesetzt.

Bei einer Ausführungsrolle, die Sie in einer CreateDomain-API-Anforderung übergeben, können Sie der Rolle folgende Berechtigungsrichtlinie zuweisen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:region:account-id:key/kms-key-id"
        }
    ]
}

Wenn die Berechtigungen in einer KMS-Richtlinie angegeben sind, können Sie der Rolle alternativ die folgende Richtlinie hinzufügen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::account-id:role/ExecutionRole"
                ]
            },
            "Action": [
                "kms:CreateGrant",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        }
    ]
}

CreateImage und UpdateImage APIs: Berechtigungen für die Ausführungsrolle

Für eine Ausführungsrolle, die Sie in einer – CreateImageoder UpdateImage-API-Anfrage übergeben können, können Sie die folgende Berechtigungsrichtlinie an die Rolle anhängen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchGetImage",
                "ecr:GetDownloadUrlForLayer"
            ],
            "Resource": "*"
        }
    ]
}

CreateNotebookInstance API: Berechtigungen für Ausführungsrollen

Die Berechtigungen, die Sie der Ausführungsrolle für den Aufruf der CreateNotebookInstance-API erteilen, hängen davon ab, was Sie mit der Notebook-Instance tun möchten. Wenn Sie damit SageMaker KI aufrufen und dieselbe Rolle beim Aufrufen von APIs und übergeben möchten CreateModel APIs, fügen Sie der CreateTrainingJob Rolle die folgende Berechtigungsrichtlinie hinzu:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:*",
                "ecr:GetAuthorizationToken",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage",
                "ecr:BatchCheckLayerAvailability",
                "ecr:SetRepositoryPolicy",
                "ecr:CompleteLayerUpload",
                "ecr:BatchDeleteImage",
                "ecr:UploadLayerPart",
                "ecr:DeleteRepositoryPolicy",
                "ecr:InitiateLayerUpload",
                "ecr:DeleteRepository",
                "ecr:PutImage",
                "ecr:CreateRepository",
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData",
                "cloudwatch:GetMetricStatistics",
                "cloudwatch:ListMetrics",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents",
                "logs:GetLogEvents",
                "s3:CreateBucket",
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "robomaker:CreateSimulationApplication",
                "robomaker:DescribeSimulationApplication",
                "robomaker:DeleteSimulationApplication",
                "robomaker:CreateSimulationJob",
                "robomaker:DescribeSimulationJob",
                "robomaker:CancelSimulationJob",
                "ec2:CreateVpcEndpoint",
                "ec2:DescribeRouteTables",
                "elasticfilesystem:DescribeMountTargets"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "codecommit:GitPull",
                "codecommit:GitPush"
            ],
            "Resource": [
                "arn:aws:codecommit:*:*:*sagemaker*",
                "arn:aws:codecommit:*:*:*SageMaker*",
                "arn:aws:codecommit:*:*:*Sagemaker*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "sagemaker.amazonaws.com"
                }
            }
        }
    ]
}

Um die Berechtigungen einzuschränken, beschränken Sie sie auf bestimmte Amazon S3- und Amazon ECR-Ressourcen, indem Sie "Resource": "*" wie folgt einschränken:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:*",
                "ecr:GetAuthorizationToken",
                "cloudwatch:PutMetricData",
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents",
                "logs:GetLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "sagemaker.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket/object1",
                "arn:aws:s3:::outputbucket/path",
                "arn:aws:s3:::inputbucket/object2",
                "arn:aws:s3:::inputbucket/object3"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": [
                "arn:aws:ecr:region::repository/my-repo1",
                "arn:aws:ecr:region::repository/my-repo2",
                "arn:aws:ecr:region::repository/my-repo3"
            ]
        }
    ]
}

Wenn Sie planen, auf andere Ressourcen wie Amazon DynamoDB oder Amazon Relational Database Service zuzugreifen, fügen Sie die entsprechenden Berechtigungen zu dieser Richtlinie hinzu.

In der vorgenannten Richtlinie nehmen Sie folgende Zuweisungen vor:

Die Aktionen cloudwatch und logs gelten für die Ressourcen "*". Weitere Informationen finden Sie unter CloudWatch Ressourcen und Abläufe im CloudWatch Amazon-Benutzerhandbuch.

CreateHyperParameterTuningJob API: Berechtigungen für die Ausführungsrolle

Bei einer Ausführungsrolle, die Sie in einer CreateHyperParameterTuningJob-API-Anforderung übergeben, können Sie der Rolle folgende Berechtigungsrichtlinie zuweisen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "*"
        }
    ]
}

Anstatt dies zu spezifizieren"Resource": "*", könnten Sie diese Berechtigungen auf bestimmte Amazon S3-, Amazon ECR- und Amazon CloudWatch Logs-Ressourcen beschränken:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket/object",
                "arn:aws:s3:::outputbucket/path"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "arn:aws:ecr:region::repository/my-repo"
        },
        {
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/sagemaker/TrainingJobs*"
        }
    ]
}

Wenn der mit dem Hyperparameter-Abstimmungsauftrag verbundene Trainingscontainer auf andere Datenquellen wie DynamoDB- oder Amazon RDS-Ressourcen zugreifen muss, fügen Sie dieser Richtlinie die entsprechenden Berechtigungen hinzu.

In der vorgenannten Richtlinie nehmen Sie folgende Zuweisungen vor:

Die cloudwatch Aktionen gelten für die Ressourcen "*". Weitere Informationen finden Sie unter CloudWatch Ressourcen und Abläufe im CloudWatch Amazon-Benutzerhandbuch.

Wenn Sie eine private VPC für den Hyperparameter-Optimierungsauftrag angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}

Wenn Ihre Eingabe serverseitig mit einem von AWS KMS verwalteten Schlüssel (SSE-KMS) verschlüsselt wurde, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Wenn Sie in der Ausgabekonfiguration Ihres Hyperparameter-Optimierungsauftrags einen KMS-Schlüssel angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Wenn Sie in der Ressourcenkonfiguration Ihres Hyperparameter-Optimierungsauftrags einen Volume-KMS-Schlüssel angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateProcessingJob API: Berechtigungen für die Ausführungsrolle

Bei einer Ausführungsrolle, die Sie in einer CreateProcessingJob-API-Anforderung übergeben, können Sie der Rolle folgende Berechtigungsrichtlinie zuweisen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "*"
        }
    ]
}

Anstatt "Resource": "*" anzugeben, können Sie diese Berechtigungen auf bestimmte Amazon S3- und Amazon ECR-Ressourcen anwenden:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket/object",
                "arn:aws:s3:::outputbucket/path"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "arn:aws:ecr:region::repository/my-repo"
        }
    ]
}

Wenn CreateProcessingJob.AppSpecification.ImageUri auf andere Datenquellen, wie DynamoDB- oder Amazon RDS-Ressourcen, zugreifen muss, fügen Sie dieser Richtlinie entsprechende Berechtigungen hinzu.

In der vorgenannten Richtlinie nehmen Sie folgende Zuweisungen vor:

Die Aktionen cloudwatch und logs gelten für die Ressourcen "*". Weitere Informationen finden Sie unter CloudWatch Ressourcen und Abläufe im CloudWatch Amazon-Benutzerhandbuch.

Wenn Sie eine private VPC für Ihren Verarbeitungsauftrag angeben, fügen Sie die folgenden Berechtigungen hinzu. Geben Sie in der Richtlinie keine Bedingungen oder Ressourcenfilter an. Andernfalls schlagen die Validierungsprüfungen, die während der Erstellung des Verarbeitungsauftrags durchgeführt werden, fehl.

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}

Wenn Ihre Eingabe serverseitig mit einem von AWS KMS verwalteten Schlüssel (SSE-KMS) verschlüsselt wurde, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Wenn Sie in der Ausgabekonfiguration Ihres Verarbeitungsauftrags einen KMS-Schlüssel angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Wenn Sie in der Ressourcenkonfiguration Ihres Verarbeitungsauftrags einen Volume-KMS-Schlüssel angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateTrainingJob API: Berechtigungen für die Ausführungsrolle

Bei einer Ausführungsrolle, die Sie in einer CreateTrainingJob-API-Anforderung übergeben, können Sie der Rolle folgende Berechtigungsrichtlinie zuweisen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "*"
        }
    ]
}

Anstatt "Resource": "*" anzugeben, können Sie diese Berechtigungen auf bestimmte Amazon S3- und Amazon ECR-Ressourcen anwenden:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket/object",
                "arn:aws:s3:::outputbucket/path"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "arn:aws:ecr:region::repository/my-repo"
        }
    ]
}

Wenn CreateTrainingJob.AlgorithSpecifications.TrainingImage auf andere Datenquellen, wie DynamoDB- oder Amazon RDS-Ressourcen, zugreifen muss, fügen Sie dieser Richtlinie entsprechende Berechtigungen hinzu.

In der vorgenannten Richtlinie nehmen Sie folgende Zuweisungen vor:

Die Aktionen cloudwatch und logs gelten für die Ressourcen "*". Weitere Informationen finden Sie unter CloudWatch Ressourcen und Abläufe im CloudWatch Amazon-Benutzerhandbuch.

Wenn Sie eine private VPC für den Trainingsauftrag angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
      "ec2:CreateNetworkInterface",
      "ec2:CreateNetworkInterfacePermission",
      "ec2:DeleteNetworkInterface",
      "ec2:DeleteNetworkInterfacePermission",
      "ec2:DescribeNetworkInterfaces",
      "ec2:DescribeVpcs",
      "ec2:DescribeDhcpOptions",
      "ec2:DescribeSubnets",
      "ec2:DescribeSecurityGroups"
    ]
}

Wenn Ihre Eingabe serverseitig mit einem von AWS KMS verwalteten Schlüssel (SSE-KMS) verschlüsselt wurde, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "kms:Decrypt"
    ]
}

Wenn Sie in der Ausgabekonfiguration Ihres Trainingsauftrags einen KMS-Schlüssel angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:Encrypt"
    ]
}

Wenn Sie in der Ressourcenkonfiguration Ihres Trainingsauftrags einen Volume-KMS-Schlüssel angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
    "kms:CreateGrant"
    ]
}

CreateModel API: Berechtigungen für die Ausführungsrolle

Bei einer Ausführungsrolle, die Sie in einer CreateModel-API-Anforderung übergeben, können Sie der Rolle folgende Berechtigungsrichtlinie zuweisen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "s3:GetObject",
                "s3:ListBucket",
                "ecr:GetAuthorizationToken",
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": "*"
        }
    ]
}

Anstatt "Resource": "*" anzugeben, können Sie diese Berechtigungen auf bestimmte Amazon S3- und Amazon ECR-Ressourcen anwenden:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:PutLogEvents",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "ecr:GetAuthorizationToken"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::inputbucket/object"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:BatchCheckLayerAvailability",
                "ecr:GetDownloadUrlForLayer",
                "ecr:BatchGetImage"
            ],
            "Resource": [
                "arn:aws:ecr:region::repository/my-repo",
                "arn:aws:ecr:region::repository/my-repo"
             ]
        }
    ]
}

Wenn CreateModel.PrimaryContainer.Image Zugriff auf andere Datenquellen – z. B. Amazon DynamoDB- oder Amazon RDS-Ressourcen – benötigt, fügen Sie dieser Richtlinie die entsprechenden Berechtigungen hinzu.

In der vorgenannten Richtlinie nehmen Sie folgende Zuweisungen vor:

Die Aktionen cloudwatch und logs gelten für die Ressourcen "*". Weitere Informationen finden Sie unter CloudWatch Ressourcen und Abläufe im CloudWatch Amazon-Benutzerhandbuch.

Wenn Sie eine private VPC für das Modell angeben, fügen Sie die folgenden Berechtigungen hinzu:

{
    "Effect": "Allow",
    "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:CreateNetworkInterfacePermission",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteNetworkInterfacePermission",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeVpcs",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups"
    ]
}