Phase 1: Migrieren Sie die Benutzeroberfläche von Studio Classic zu Studio

1. Erstellen Sie eine Testdomäne, um Konfigurationen zu überprüfen, bevor Sie die bestehende Domäne migrieren.

2. Migrieren Sie die bestehende Domain.

3. Bereinigen Sie die Testdomäne.

1. Rufen Sie die Domain-ID Ihrer vorhandenen Domain ab.

   1. Öffnen Sie die SageMaker Amazon-Konsole unter https://console.aws.amazon.com/sagemaker/.

   2. Erweitern Sie im linken Navigationsbereich Admin-Konfigurationen und wählen Sie Domains aus.

   3. Wählen Sie die bestehende Domain aus.

   4. Wählen Sie auf der Seite mit den Domain-Details Domain-Einstellungen aus.

   5. Kopieren Sie die Domain-ID.

2. Fügen Sie die Domain-ID Ihrer bestehenden Domain hinzu.

   export REF_DOMAIN_ID="domain-id"
   export SM_REGION="region"

3. Verwenden Sie describe-domain diese Option, um wichtige Informationen über die bestehende Domain zu erhalten.

   export REF_EXECROLE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.ExecutionRole')
   export REF_VPC=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.VpcId')
   export REF_SIDS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.SubnetIds | join(",")')
   export REF_SGS=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.DefaultUserSettings.SecurityGroups | join(",")')
   export AUTHMODE=$(aws sagemaker describe-domain --region=$SM_REGION --domain-id=$REF_DOMAIN_ID | jq -r '.AuthMode')

4. Überprüfen Sie die Parameter.

   echo "Execution Role: $REF_EXECROLE || VPCID: $REF_VPC || SubnetIDs: $REF_SIDS || Security GroupIDs: $REF_SGS || AuthMode: $AUTHMODE"

5. Erstellen Sie eine Testdomäne mit den Konfigurationen der vorhandenen Domäne.

   IFS=',' read -r -a subnet_ids <<< "$REF_SIDS"
   IFS=',' read -r -a security_groups <<< "$REF_SGS"
   security_groups_json=$(printf '%s\n' "${security_groups[@]}" | jq -R . | jq -s .)
   
   aws sagemaker create-domain \
   --domain-name "TestV2Config" \
   --vpc-id $REF_VPC \
   --auth-mode $AUTHMODE \
   --subnet-ids "${subnet_ids[@]}" \
   --app-network-access-type VpcOnly \
   --default-user-settings "
   {
       \"ExecutionRole\": \"$REF_EXECROLE\",
       \"StudioWebPortal\": \"ENABLED\",
       \"DefaultLandingUri\": \"studio::\",
       \"SecurityGroups\": $security_groups_json
   }
   "

6. Nachdem die Testdomäne erstellt wurdeIn Service, verwenden Sie die ID der Testdomäne, um ein Benutzerprofil zu erstellen. Dieses Benutzerprofil wird zum Starten und Testen von Anwendungen verwendet.

   aws sagemaker create-user-profile \
   --region="$SM_REGION" --domain-id=test-domain-id \
   --user-profile-name test-network-user

1. Erstellen Sie eine AWS Identity and Access Management Richtlinie mit einem der folgenden Inhalte, indem Sie die unter IAM-Richtlinien erstellen beschriebenen Schritte ausführen:

   • Verwenden Sie die folgende Richtlinie, um Berechtigungen für alle Anwendungstypen und Bereiche zu gewähren.

     Anmerkung

     Wenn die Testdomäne die SageMakerFullAccess Richtlinie verwendet, müssen Sie diese Aktion nicht ausführen. SageMakerFullAccessgewährt Berechtigungen zum Erstellen aller Anwendungen.

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "SMStudioUserProfileAppPermissionsCreateAndDelete",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateApp",
                     "sagemaker:DeleteApp"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:app/*",
                 "Condition": {
                     "Null": {
                         "sagemaker:OwnerUserProfileArn": "true"
                     }
                 }
             },
             {
                 "Sid": "SMStudioCreatePresignedDomainUrlForUserProfile",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreatePresignedDomainUrl"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:user-profile/${sagemaker:DomainId}/${sagemaker:UserProfileName}"
             },
             {
                 "Sid": "SMStudioAppPermissionsListAndDescribe",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:ListApps",
                     "sagemaker:ListDomains",
                     "sagemaker:ListUserProfiles",
                     "sagemaker:ListSpaces",
                     "sagemaker:DescribeApp",
                     "sagemaker:DescribeDomain",
                     "sagemaker:DescribeUserProfile",
                     "sagemaker:DescribeSpace"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "SMStudioAppPermissionsTagOnCreate",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:AddTags"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:*/*",
                 "Condition": {
                     "Null": {
                         "sagemaker:TaggingAction": "false"
                     }
                 }
             },
             {
                 "Sid": "SMStudioRestrictSharedSpacesWithoutOwners",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateSpace",
                     "sagemaker:UpdateSpace",
                     "sagemaker:DeleteSpace"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:space/${sagemaker:DomainId}/*",
                 "Condition": {
                     "Null": {
                         "sagemaker:OwnerUserProfileArn": "true"
                     }
                 }
             },
             {
                 "Sid": "SMStudioRestrictSpacesToOwnerUserProfile",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateSpace",
                     "sagemaker:UpdateSpace",
                     "sagemaker:DeleteSpace"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:space/${sagemaker:DomainId}/*",
                 "Condition": {
                     "ArnLike": {
                         "sagemaker:OwnerUserProfileArn": "arn:aws:sagemaker:us-east-1:account-id:user-profile/${sagemaker:DomainId}/${sagemaker:UserProfileName}"
                     },
                     "StringEquals": {
                         "sagemaker:SpaceSharingType": [
                             "Private",
                             "Shared"
                         ]
                     }
                 }
             },
             {
                 "Sid": "SMStudioRestrictCreatePrivateSpaceAppsToOwnerUserProfile",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateApp",
                     "sagemaker:DeleteApp"
                 ],
                 "Resource": "arn:aws:sagemaker:region:account-id:app/${sagemaker:DomainId}/*",
                 "Condition": {
                     "ArnLike": {
                         "sagemaker:OwnerUserProfileArn": "arn:aws:sagemaker:us-east-1:account-id:user-profile/${sagemaker:DomainId}/${sagemaker:UserProfileName}"
                     },
                     "StringEquals": {
                         "sagemaker:SpaceSharingType": [
                             "Private"
                         ]
                     }
                 }
             },
             {
                 "Sid": "AllowAppActionsForSharedSpaces",
                 "Effect": "Allow",
                 "Action": [
                     "sagemaker:CreateApp",
                     "sagemaker:DeleteApp"
                 ],
                 "Resource": "arn:aws:sagemaker:*:*:app/${sagemaker:DomainId}/*/*/*",
                 "Condition": {
                     "StringEquals": {
                         "sagemaker:SpaceSharingType": [
                             "Shared"
                         ]
                     }
                 }
             }
         ]
     }

   • Da Studio eine erweiterte Anzahl von Anwendungen anzeigt, haben Benutzer möglicherweise Zugriff auf Anwendungen, die zuvor nicht angezeigt wurden. Administratoren können den Zugriff auf diese Standardanwendungen einschränken, indem sie eine AWS Identity and Access Management (IAM-) Richtlinie erstellen, die bestimmten Benutzern Berechtigungen für einige Anwendungen verweigert.

     Anmerkung

     Der Anwendungstyp kann entweder oder jupyterlab sein. codeeditor

     {  
       "Version": "2012-10-17",
       "Statement": [
         {
           "Sid": "DenySageMakerCreateAppForSpecificAppTypes",
           "Effect": "Deny",
           "Action": "sagemaker:CreateApp",
           "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/*/app-type/*"
         }
       ]
     }

2. Ordnen Sie die Richtlinie der Ausführungsrolle der Testdomäne zu. Anweisungen finden Sie unter Hinzufügen von IAM-Identitätsberechtigungen (Konsole).

So fügen Sie einem Amazon S3 S3-Bucket eine CORS-Konfiguration hinzu

1. Stellen Sie sicher, dass sich in derselben Domain AWS-Region wie die bestehende Domain ein Amazon S3 S3-Bucket mit dem folgenden Namen befindet. Anweisungen finden Sie unter Eigenschaften für einen Amazon S3 S3-Bucket anzeigen.

   sagemaker-region-account-id

2. Fügen Sie dem standardmäßigen Amazon S3 S3-Bucket eine CORS-Konfiguration mit dem folgenden Inhalt hinzu. Anweisungen finden Sie unter Konfiguration von Cross-Origin Resource Sharing (CORS).

   [
       {
           "AllowedHeaders": [
               "*"
           ],
           "AllowedMethods": [
               "POST",
               "PUT",
               "GET",
               "HEAD",
               "DELETE"
           ],
           "AllowedOrigins": [
               "https://*.sagemaker.aws"
           ],
           "ExposeHeaders": [
               "ETag",
               "x-amz-delete-marker",
               "x-amz-id-2",
               "x-amz-request-id",
               "x-amz-server-side-encryption",
               "x-amz-version-id"
           ]
       }
   ]

Um Berechtigungen für die Data Wrangler-Funktionalität in Canvas zu gewähren

1. Ordnen Sie die AWS verwaltete Richtlinie der IAM-Rolle Ihres Benutzers AmazonSageMakerFullAccesszu. Ein Verfahren, das Ihnen zeigt, wie Sie IAM-Richtlinien an eine Rolle anhängen, finden Sie unter Hinzufügen von IAM-Identitätsberechtigungen (Konsole) im AWS IAM-Benutzerhandbuch.

   Wenn diese Berechtigungsrichtlinie für Ihren Anwendungsfall zu freizügig ist, können Sie Richtlinien mit eingeschränktem Geltungsbereich erstellen, die mindestens die folgenden Berechtigungen beinhalten:

   {
       "Sid": "AllowStudioActions",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreatePresignedDomainUrl",
           "sagemaker:DescribeDomain",
           "sagemaker:ListDomains",
           "sagemaker:DescribeUserProfile",
           "sagemaker:ListUserProfiles",
           "sagemaker:DescribeSpace",
           "sagemaker:ListSpaces",
           "sagemaker:DescribeApp",
           "sagemaker:ListApps"
       ],
       "Resource": "*"
   },
   {
       "Sid": "AllowAppActionsForUserProfile",
       "Effect": "Allow",
       "Action": [
           "sagemaker:CreateApp",
           "sagemaker:DeleteApp"
       ],
       "Resource": "arn:aws:sagemaker:region:account-id:app/domain-id/user-profile-name/canvas/*",
       "Condition": {
           "Null": {
               "sagemaker:OwnerUserProfileArn": "true"
           }
       }
   }

2. Ordnen Sie die AWS verwaltete Richtlinie der IAM-Rolle Ihres AmazonSageMakerCanvasDataPrepFullAccessBenutzers zu.

Um IAM-Richtlinien an eine Ausführungsrolle anzuhängen

1. Suchen Sie nach der Ausführungsrolle, die Ihrem SageMaker Benutzerprofil zugeordnet ist

   1. Navigieren Sie in der SageMaker Konsole https://console.aws.amazon.com/sagemaker/ zu Domains und wählen Sie dann Ihre SageMaker Domain aus.

   2. Der ARN für die Ausführungsrolle ist auf der Seite mit den Benutzerdetails Ihres Benutzerprofils unter Ausführungsrolle aufgeführt. Notieren Sie sich den Namen der Ausführungsrolle im ARN.

   3. Wählen Sie in der IAM-Konsole https://console.aws.amazon.com/iam/ die Option Roles aus.

   4. Suchen Sie im Suchfeld anhand des Namens nach Ihrer Rolle.

   5. Wählen Sie die Rolle aus.

2. Fügen Sie der Rolle Richtlinien hinzu

   1. Wählen Sie in der IAM-Konsole https://console.aws.amazon.com/iam/ die Option Rollen aus.

   2. Suchen Sie im Suchfeld anhand des Namens nach Ihrer Rolle.

   3. Wählen Sie die Rolle aus.

   4. Navigieren Sie auf der Registerkarte „Berechtigungen“ zum Dropdownmenü „Berechtigungen hinzufügen“.

   5. • Für verwaltete Richtlinien: Wählen Sie Richtlinien anhängen aus und suchen Sie nach dem Namen der Verwaltungsrichtlinie, die Sie anhängen möchten.

        Wählen Sie die Richtlinie aus und klicken Sie dann auf Berechtigungen hinzufügen.

      • Für Inline-Richtlinien: Wählen Sie Inline-Richtlinie erstellen aus, fügen Sie Ihre Richtlinie in den JSON-Tab ein, wählen Sie Weiter, geben Sie Ihrer Richtlinie einen Namen und wählen Sie Erstellen aus.

1. Fügen Sie die ID der Testdomäne hinzu.

   export TEST_DOMAIN="test-domain-id"
   export SM_REGION="region"

2. Listet alle Anwendungen in der Domäne auf, die sich im laufenden Zustand befinden.

   active_apps_json=$(aws sagemaker list-apps --region=$SM_REGION --domain-id=$TEST_DOMAIN)
   echo $active_apps_json

3. Analysieren Sie die JSON-Liste der laufenden Anwendungen und löschen Sie sie. Wenn Benutzer versucht haben, eine Anwendung zu erstellen, für die sie keine Berechtigungen haben, sind möglicherweise Leerzeichen vorhanden, die im folgenden Skript nicht erfasst werden. Sie müssen diese Leerzeichen manuell löschen.

   echo "$active_apps_json" | jq -c '.Apps[]' | while read -r app;
   do
       if echo "$app" | jq -e '. | has("SpaceName")' > /dev/null;
       then
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           space_name=$(echo "$app" | jq -r '.SpaceName')
   
           echo "Deleting App - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --space-name $space_name
   
           echo "Deleting Space - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || SpaceName: $space_name"
           aws sagemaker delete-space --region=$SM_REGION --domain-id=$domain_id \
           --space-name $space_name
       else
   
           app_type=$(echo "$app" | jq -r '.AppType')
           app_name=$(echo "$app" | jq -r '.AppName')
           domain_id=$(echo "$app" | jq -r '.DomainId')
           user_profile_name=$(echo "$app" | jq -r '.UserProfileName')
   
           echo "Deleting Studio Classic - AppType: $app_type || AppName: $app_name || DomainId: $domain_id || UserProfileName: $user_profile_name"
           aws sagemaker delete-app --region=$SM_REGION --domain-id=$domain_id \
           --app-type $app_type --app-name $app_name --user-profile-name $user_profile_name
   
       fi
   
   done

4. Löschen Sie das Testbenutzerprofil.

   aws sagemaker delete-user-profile \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN \
   --user-profile-name "test-network-user"

5. Löschen Sie die Testdomäne.

   aws sagemaker delete-domain \
   --region=$SM_REGION --domain-id=$TEST_DOMAIN