Kontenübergreifende Abstammung verfolgen

Amazon SageMaker unterstützt die Nachverfolgung von Herkunftsentitäten von einem anderen AWS Konto aus. Andere AWS Konten können ihre Herkunftsentitäten mit Ihnen teilen, und Sie können über direkte API Anrufe oder SageMaker Abstammungsabfragen auf diese Herkunftsentitäten zugreifen.

SageMaker verwendet AWS Resource Access Manager, um Ihnen zu helfen, Ihre Lineage-Ressourcen sicher zu teilen. Sie können Ihre Ressourcen über die AWS RAM Konsole teilen.

Einrichten der kontoübergreifenden Abstammungsverfolgung

Sie können Ihre Entitäten zur Abstammungsverfolgung über eine Abstammungsgruppe in Amazon SageMaker gruppieren und teilen. SageMaker unterstützt nur eine Standard-Abstammungsgruppe pro Konto. SageMaker erstellt die Standard-Abstammungsgruppe, wenn in Ihrem Konto eine Abstammungsentität erstellt wird. Jede Lineage-Entität, die Ihrem Konto gehört, ist dieser Standard-Abstammungsgruppe zugewiesen. Um Abstammungsentitäten mit einem anderen Konto zu teilen, teilen Sie diese Standard-Herkunftsgruppe mit diesem Konto.

Erstellen Sie mithilfe der Konsole eine Ressourcenfreigabe für Ihre Lineage-Entitäten. AWS Resource Access Manager Weitere Informationen finden Sie im AWS Resource Access Manager Benutzerhandbuch unter Teilen Ihrer AWS Ressourcen.

Ihre kontoübergreifende Ressourcenrichtlinie zur Nachverfolgung der Herkunft

Amazon SageMaker unterstützt nur eine Art von Ressourcenrichtlinie. Die SageMaker Ressourcenrichtlinie muss alle der folgenden Operationen zulassen:

"sagemaker:DescribeAction"
"sagemaker:DescribeArtifact"
"sagemaker:DescribeContext"
"sagemaker:DescribeTrialComponent"
"sagemaker:AddAssociation"
"sagemaker:DeleteAssociation"
"sagemaker:QueryLineage"            
          

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FullLineageAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "123456789012" #account-id
      },
      "Action": [
        "sagemaker:DescribeAction",
        "sagemaker:DescribeArtifact",
        "sagemaker:DescribeContext",
        "sagemaker:DescribeTrialComponent",
        "sagemaker:AddAssociation",
        "sagemaker:DeleteAssociation",
        "sagemaker:QueryLineage"
      ],
      "Resource": "arn:aws:sagemaker:us-west-2:111111111111:lineage-group/sagemaker-default-lineage-group" #Sample lineage group resource 
    }
  ]
}

Einrichten von kontoübergreifenden Lineage-Entitäten

Mit der kontoübergreifenden Nachverfolgung der Herkunft können Sie mit derselben Aktion Herkunftsentitäten in verschiedenen Konten verknüpfen. AddAssociation API Wenn Sie zwei Herkunftsentitäten verknüpfen, wird SageMaker überprüft, ob Sie berechtigt sind, die AddAssociation API Aktion für beide Herkunfts- Entitäten auszuführen. SageMaker richtet dann die Zuordnung ein. Wenn Sie nicht über die erforderlichen Berechtigungen verfügen, SageMaker wird die Zuordnung nicht erstellt. Sobald die kontenübergreifende Zuordnung eingerichtet ist, können Sie über die Aktion von der anderen aus auf eine der beiden Lineage-Entitäten zugreifen. QueryLineage API Weitere Informationen finden Sie unter Abfragen von Lineage-Entitäten.

Wenn Sie kontenübergreifenden Zugriff haben, können Sie nicht nur SageMaker automatisch Lineage-Entitäten erstellen, sondern auch Artefakte SageMaker miteinander verbinden, die auf dasselbe Objekt oder dieselben Daten verweisen. Wenn die Daten aus einem Konto von verschiedenen Konten für die Nachverfolgung der Herkunft verwendet werden, wird in jedem Konto ein Artefakt SageMaker erstellt, um diese Daten nachzuverfolgen. Bei kontenübergreifender Herkunft SageMaker wird bei jeder Erstellung neuer Artefakte SageMaker geprüft, ob für dieselben Daten weitere Artefakte erstellt wurden, die ebenfalls mit Ihnen geteilt werden. SageMaker stellt dann Verknüpfungen zwischen dem neu erstellten Artefakt und allen Artefakten her, die mit Ihnen geteilt wurden, und zwar mit der Einstellung aufAssociationType. SameAs Anschließend können Sie die QueryLineage API Aktion verwenden, um die Lineage-Entitäten in Ihrem eigenen Account zu Lineage-Entitäten zu wechseln, die zwar mit Ihnen geteilt werden, aber einem anderen Account gehören. AWS Weitere Informationen finden Sie unter Abfragen von Lineage-Entitäten

Von einem anderen Konto aus auf Lineage-Ressourcen zugreifen

Sobald der kontenübergreifende Zugriff für die gemeinsame Nutzung der Herkunft eingerichtet wurde, können Sie die folgenden SageMaker API Aktionen direkt mit dem aufrufen, ARN um die gemeinsamen Abstammungseinheiten von einem anderen Konto aus zu beschreiben:

Mithilfe der folgenden Aktionen können Sie auch Verknüpfungen für Herkunftsentitäten verwalten, die verschiedenen Konten gehören, die mit Ihnen gemeinsam genutzt werden: SageMaker API

Ein Notizbuch, in dem gezeigt wird, wie SageMaker Lineage verwendet wird, um die Herkunft kontenübergreifend APIs abzufragen, finden Sie unter -with-ram.ipynb. sagemaker-lineage-cross-account

Autorisierung für die Abfrage von kontenübergreifenden Lineage-Entitäten

Amazon SageMaker muss bestätigen, dass Sie über die erforderlichen Berechtigungen verfügen, um die QueryLineage API Aktion auf dem durchzuführenStartArns. Dies wird durch die Ressourcenrichtlinie durchgesetzt, die LineageGroup beigefügt ist. Das Ergebnis dieser Aktion umfasst alle Lineage-Entitäten, auf die Sie Zugriff haben, unabhängig davon, ob sie Ihrem Konto gehören oder von einem anderen Konto gemeinsam genutzt werden. Weitere Informationen finden Sie unter Abfragen von Lineage-Entitäten.