Configure los permisos de IAM para MLflow

Debe configurar las funciones de servicio de IAM necesarias para empezar a utilizar MLflow Amazon SageMaker AI.

Si creas un nuevo dominio de Amazon SageMaker AI para acceder a tus experimentos en Studio, puedes configurar los permisos de IAM necesarios durante la configuración del dominio. Para obtener más información, consulte Configure los permisos MLflow de IAM al crear un dominio nuevo.

Para configurar los permisos mediante la consola de IAM, consulte Creación de los roles de servicio de IAM necesarios en la consola de IAM.

Debe configurar los controles de autorización para las acciones de sagemaker-mlflow. Si lo desea, puede definir controles de autorización más detallados para regular los permisos específicos de cada acción MLflow. Para obtener más información, consulte Creación de controles de autorización específicos de cada acción.

Configure los permisos MLflow de IAM al crear un dominio nuevo

Al configurar un nuevo dominio de Amazon SageMaker AI para su organización, puede configurar los permisos de IAM para su función de servicio de dominio a través de los ajustes Usuarios y Actividades de aprendizaje automático.

Las siguientes actividades de aprendizaje MLflow automático están disponibles en Amazon SageMaker Role Manager:

Para obtener más información sobre las actividades de ML en el Administrador de roles, consulte Referencia de actividad de ML.

Creación de los roles de servicio de IAM necesarios en la consola de IAM

Si no creó ni actualizó su función de servicio de dominio, debe crear las siguientes funciones de servicio en la consola de IAM para crear y utilizar un servidor MLflow de seguimiento:

Políticas de IAM para el rol de servicio de IAM del servidor de seguimiento

El servidor de seguimiento utiliza la función de servicio IAM del servidor de seguimiento para acceder a los recursos que necesita, como Amazon S3 y SageMaker Model Registry.

Al crear el rol de servicio de IAM del servidor de seguimiento, utilice la siguiente política de confianza de IAM:

{
     "Version": "2012-10-17",
     "Statement": [
         {
             "Effect": "Allow",
             "Principal": {
                 "Service": [                     
                      "sagemaker.amazonaws.com"
                 ]
             },
             "Action": "sts:AssumeRole"
         }
     ]
 }

En la consola de IAM, añada la siguiente política de permisos al rol de servicio del servidor de seguimiento:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:Get*",
                "s3:Put*",
                "s3:List*",
                "sagemaker:AddTags",
                "sagemaker:CreateModelPackageGroup",
                "sagemaker:CreateModelPackage",
                "sagemaker:UpdateModelPackage",
                "sagemaker:DescribeModelPackageGroup"
            ],
            "Resource": "*"
        }
    ]
}

Política de IAM para la función de servicio de SageMaker IA IAM

El cliente que accede al servidor de MLflow seguimiento utiliza el rol de servicio de SageMaker IA y necesita permisos para llamar MLflow a REST. APIs El rol de servicio de SageMaker IA también necesita permisos de SageMaker API para crear, ver, actualizar, iniciar, detener y eliminar servidores de rastreo.

Puede crear un nuevo rol o actualizar uno existente. El rol de servicio de SageMaker IA necesita la siguiente política:

{
    "Version": "2012-10-17",    
    "Statement": [        
        {            
            "Effect": "Allow",            
            "Action": [
                "sagemaker-mlflow:*",
                "sagemaker:CreateMlflowTrackingServer",
                "sagemaker:ListMlflowTrackingServers",
                "sagemaker:UpdateMlflowTrackingServer",
                "sagemaker:DeleteMlflowTrackingServer",
                "sagemaker:StartMlflowTrackingServer",
                "sagemaker:StopMlflowTrackingServer",
                "sagemaker:CreatePresignedMlflowTrackingServerUrl"
            ],            
            "Resource": "*"        
        }        
    ]
}

Creación de controles de autorización específicos de cada acción

Debe configurar controles de autorización ysagemaker-mlflow, si lo desea, puede configurar controles de autorización específicos para cada acción a fin de regular MLflow los permisos más detallados que sus usuarios tienen en un servidor MLflow de seguimiento.

El siguiente comando crea un archivo denominado mlflow-policy.json que proporciona a su servidor de seguimiento permisos de IAM para todas las acciones de SageMaker IA MLflow disponibles. También puede limitar los permisos que tiene un usuario. Para ello, seleccione las acciones específicas que desea que realice ese usuario. Para obtener una lista de las acciones disponibles, consulte Las acciones de IAM son compatibles con MLflow.

# Replace "Resource":"*" with "Resource":"TrackingServerArn" 
# Replace "sagemaker-mlflow:*" with specific actions

printf '{
    "Version": "2012-10-17",    
    "Statement": [        
        {            
            "Effect": "Allow",            
            "Action": "sagemaker-mlflow:*",            
            "Resource": "*"        
        }        
    ]
}' > mlflow-policy.json

Utilice el archivo mlflow-policy.json para crear una política de IAM mediante la AWS CLI.

aws iam create-policy \
  --policy-name MLflowPolicy \
  --policy-document file://mlflow-policy.json

Recupere el ID de la cuenta y asocie la política al rol de IAM.

# Get your account ID
aws sts get-caller-identity

# Attach the IAM policy using your exported role and account ID
aws iam attach-role-policy \
  --role-name $role_name \
  --policy-arn arn:aws:iam::123456789012:policy/MLflowPolicy

Las acciones de IAM son compatibles con MLflow

Se admiten las siguientes MLflow acciones de SageMaker IA para el control del acceso a la autorización: