Configure aplicaciones de IA asociadas

Otorgue permisos para AWS Marketplace. Los administradores de Partner AI Apps necesitan estos permisos para comprar suscripciones a Partner AI Apps AWS Marketplace. Para acceder a ella AWS Marketplace, los administradores deben adjuntar la política AWSMarketplaceManageSubscriptions gestionada a la función de IAM que utilizan para acceder a la consola de SageMaker IA y comprar la aplicación. Para obtener más información sobre la política AWSMarketplaceManageSubscriptions gestionada, consulta Políticas AWS gestionadas para AWS Marketplace compradores. Para obtener información sobre cómo adjuntar políticas gestionadas, consulte Añadir y eliminar permisos de identidad de IAM.

Otorgue permisos para que SageMaker AI ejecute operaciones en nombre de los administradores utilizando otras. Servicios de AWS Los administradores deben conceder permisos a la SageMaker IA para usar estos servicios y los recursos sobre los que actúan. La siguiente definición de política demuestra cómo conceder los permisos necesarios a las aplicaciones de IA asociadas. Estos permisos son necesarios además de los permisos existentes para el rol de administrador. Para obtener más información, consulte Cómo utilizar las funciones de ejecución de la SageMaker IA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreatePartnerApp",
                "sagemaker:DeletePartnerApp",
                "sagemaker:UpdatePartnerApp",
                "sagemaker:DescribePartnerApp",
                "sagemaker:ListPartnerApps",
                "sagemaker:CreatePartnerAppPresignedUrl",
                "sagemaker:CreatePartnerApp",
                "sagemaker:AddTags",
                "sagemaker:ListTags",
                "sagemaker:DeleteTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                     "iam:PassedToService": "sagemaker.amazonaws.com"
                 } 
            }
        }
    ]
}

Las aplicaciones de IA asociadas requieren una función de ejecución para interactuar con los recursos del Cuenta de AWS. Los administradores pueden crear este rol de ejecución mediante. AWS CLI La aplicación Partner AI utiliza esta función para completar las acciones relacionadas con la funcionalidad de la aplicación Partner AI.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Cree el rol AWS License Manager vinculado a un servicio siguiendo los pasos de Crear un rol vinculado a un servicio para License Manager. 

Otorgue permisos para que la aplicación Partner AI acceda a License Manager mediante AWS CLI. Estos permisos son necesarios para acceder a las licencias de la aplicación Partner AI. Esto permite a la aplicación Partner AI verificar el acceso a la licencia de la aplicación Partner AI.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Si la aplicación Partner AI requiere acceso a un bucket de Amazon S3, añada los permisos de Amazon S3 a la función de ejecución. Para obtener más información, consulte Permisos necesarios para las operaciones de la API de Amazon S3.

Concede permisos a SageMaker AI para que ejecute operaciones en tu nombre utilizando otras Servicios de AWS. Los administradores deben conceder permisos a la SageMaker IA para usar estos servicios y los recursos sobre los que actúan. Los administradores conceden estos permisos a SageMaker AI mediante una función de ejecución de IAM. Para obtener más información sobre las funciones de IAM, consulte Funciones de IAM. La siguiente definición de política demuestra cómo conceder los permisos necesarios para las aplicaciones de IA asociadas. Esta política se puede añadir a la función de ejecución del perfil de usuario.  Para obtener más información, consulte Cómo utilizar las funciones de ejecución de la SageMaker IA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribePartnerApp",
                "sagemaker:ListPartnerApps",
                "sagemaker:CreatePartnerAppPresignedUrl"
            ],
            "Resource": "arn:aws:sagemaker:*:*:partner-app/app-*"
        }
    ]
}

(Opcional) Si va a lanzar aplicaciones de IA asociadas desde Studio, añada la política de sts:TagSession confianza al rol utilizado para lanzar Studio o las aplicaciones de IA asociadas directamente de la siguiente manera. Esto garantiza que la identidad se pueda propagar correctamente.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Opcional) Si utilizas el SDK de una aplicación de IA asociada para acceder a las funciones de la SageMaker IA, añade el siguiente CallPartnerAppApi permiso a la función utilizada para ejecutar el código del SDK. Si ejecutas el código del SDK desde Studio, añade el permiso a la función de ejecución de Studio. Si ejecutas el código desde otro lugar que no sea Studio, añade el permiso al rol de IAM utilizado con el bloc de notas. Esto permite al usuario acceder a la funcionalidad de la aplicación Partner AI desde el SDK de la aplicación Partner AI.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CallPartnerAppApi"
            ],
            "Resource": [
                "arn:aws:sagemaker:region:account:partner-app/app"
            ]
        }
    ]
}