Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
AWS Identity and Access Management para SageMaker HyperPod
AWS Identity and Access Management (IAM) es un AWS servicio que ayuda a un administrador a controlar de forma segura el acceso a AWS recursos. IAMlos administradores controlan quién puede autenticarse (iniciar sesión) y quién está autorizado (tiene permisos) para usar los EKS recursos de Amazon. IAMes un AWS servicio que puede utilizar sin cargo adicional.
importante
IAMLas políticas personalizadas que permiten a Amazon SageMaker Studio o Amazon SageMaker Studio Classic crear SageMaker recursos de Amazon también deben conceder permisos para añadir etiquetas a esos recursos. El permiso para añadir etiquetas a los recursos es obligatorio porque Studio y Studio Classic etiquetan automáticamente los recursos que crean. Si una IAM política permite a Studio y Studio Classic crear recursos, pero no permite el etiquetado, se pueden producir errores AccessDenied «» al intentar crear recursos. Para obtener más información, consulte Proporciona permisos para etiquetar SageMaker los recursos.
AWS Políticas gestionadas para Amazon SageMakerque otorgan permisos para crear SageMaker recursos ya incluyen permisos para añadir etiquetas al crear esos recursos.
Supongamos que hay dos niveles principales de SageMaker HyperPod usuarios: los usuarios administradores de clústeres y los usuarios científicos de datos.
-
Usuarios administradores de clústeres: son responsables de crear y administrar SageMaker HyperPod los clústeres. Esto incluye configurar los HyperPod clústeres y administrar el acceso de los usuarios a ellos.
-
Cree y configure SageMaker HyperPod clústeres con Slurm o Amazon. EKS
-
Cree y configure IAM funciones para los usuarios de científicos de datos y los recursos HyperPod del clúster.
-
Para SageMaker HyperPod la coordinación con AmazonEKS, cree y configure entradas de acceso, control de EKS acceso basado en roles (RBAC) y Pod Identity para cumplir con los casos de uso de la ciencia de datos.
-
-
Usuarios científicos de datos: céntrese en la formación sobre modelos de aprendizaje automático. Utilizan el orquestador de código abierto o el SageMaker HyperPod CLI para enviar y gestionar los trabajos de formación.
-
Asume y usa el IAM rol proporcionado por los usuarios administradores del clúster.
-
Interactúe con el orquestador de código abierto CLIs compatible con SageMaker HyperPod (Slurm o Kubernetes) o con el SageMaker HyperPod CLI para comprobar la capacidad de los clústeres, conectarse al clúster y enviar las cargas de trabajo.
-
Configure las IAM funciones de los administradores de clústeres adjuntando los permisos o políticas adecuados para operar los clústeres. SageMaker HyperPod Los administradores de clústeres también deben crear IAM funciones para proporcionar a SageMaker HyperPod los recursos las funciones necesarias para ejecutarlas y comunicarse con ellas AWS recursos, como Amazon S3 CloudWatch, Amazon y AWS Systems Manager (SSM). Por último, el AWS El administrador de la cuenta o los administradores del clúster deben conceder a los científicos permisos para acceder a los SageMaker HyperPod clústeres y ejecutar cargas de trabajo de aprendizaje automático.
Según el orquestador que elija, los permisos necesarios para el administrador del clúster y los científicos pueden variar. También puedes controlar el alcance de los permisos para diversas acciones de los roles mediante las claves condicionales de cada servicio. Utilice las siguientes referencias de autorización de servicio para añadir un alcance detallado a los servicios relacionados con SageMaker HyperPod.
-
Amazon Elastic Container Registry (para la organización de SageMaker HyperPod clústeres con AmazonEKS)
-
Amazon Elastic Kubernetes Service (para SageMaker HyperPod la organización de clústeres con Amazon) EKS
-
AWS IAMIdentity Center (sucesor de AWS Inicio de sesión único)
Temas
IAMusuarios para el administrador de clústeres
Los administradores de clústeres (administradores) operan y configuran SageMaker HyperPod los clústeres y realizan las tareas en Gestión de SageMaker HyperPod clústeres orquestados por Slurm ellos. El siguiente ejemplo de política incluye el conjunto mínimo de permisos para que los administradores de clústeres ejecuten el SageMaker HyperPod núcleo APIs y administren los SageMaker HyperPod clústeres dentro de su AWS account.
Para conceder permisos de acceso a la SageMaker consola, usa el ejemplo de política que se proporciona en Permisos necesarios para usar la SageMaker consola de Amazon.
Para conceder permisos de acceso a la consola de Amazon EC2 Systems Manager, utilice el ejemplo de política que se proporciona en Using the AWS Systems Manager consola en el AWS Systems Manager Guía del usuario.
También puedes considerar la posibilidad de adjuntar la AmazonSageMakerFullAccesspolítica al rol; sin embargo, ten en cuenta que la AmazonSageMakerFullAccess política otorga permisos a todas las SageMaker API llamadas, funciones y recursos.
Para obtener información sobre IAM los usuarios en general, consulte IAMlos usuarios en la AWS Identity and Access Management Guía del usuario.
IAMusuarios para científicos
Los científicos inician sesión y ejecutan cargas de trabajo de aprendizaje automático en nodos de SageMaker HyperPod clústeres aprovisionados por los administradores de clústeres. Para los científicos de su AWS cuenta, debe conceder el permiso "ssm:StartSession" para ejecutar el SSM start-session comando. El siguiente es un ejemplo de política para IAM los usuarios.
IAMrol para SageMaker HyperPod
Para que SageMaker HyperPod los clústeres se ejecuten y se comuniquen con los necesarios AWS recursos, necesita crear un IAM rol para que lo asuma el HyperPod clúster.
Comience por adjuntar el rol AWS política gestionada: AmazonSageMakerHyperPodServiceRolePolicy administrado. Dado esto AWS política administrada, los grupos de instancias de SageMaker HyperPod clúster asumen la función de comunicarse con Amazon CloudWatch, Amazon S3 y AWS Systems Manager Agente (SSMagente). Esta política administrada es el requisito mínimo para que SageMaker HyperPod los recursos se ejecuten correctamente, por lo que debes asignar una IAM función con esta política a todos los grupos de instancias.
sugerencia
Según tus preferencias a la hora de diseñar el nivel de permisos para varios grupos de instancias, también puedes configurar varios IAM roles y asociarlos a diferentes grupos de instancias. Cuando configuras el acceso de los usuarios del clúster a nodos específicos del SageMaker HyperPod clúster, los nodos asumen la función con los permisos selectivos que adjuntas manualmente.
Al configurar el acceso de los científicos a nodos específicos del clúster mediante AWS Systems Manager
Cuando haya terminado de crear IAM los roles, anote sus nombres yARNs. Usas los roles al crear un SageMaker HyperPod clúster y concedes los permisos correctos necesarios para que cada grupo de instancias se comunique con los necesarios AWS recursos.
