Utiliser le contrôle d’accès par attributs (ABAC) pour l’entraînement multilocataire

Activation du chaînage des balises de session pour ABAC

1. Importation boto3 et SDK SageMaker Python. ABAC-enabled l'isolation des tâches de formation n'est disponible que dans la version 2.217 ou ultérieure du SDK SageMaker AI Python.

   import boto3
   
   from sagemaker.train import ModelTrainer
   from sagemaker.train.configs import InputData, CheckpointConfig
   from sagemaker.core.helper.session_helper import Session
   from sagemaker.core.shapes import OutputDataConfig
   from sagemaker.train.configs import Compute

2. Configurez un client AWS STS et SageMaker AI pour utiliser les balises de session étiquetées par le locataire. Vous pouvez modifier la valeur de la balise pour spécifier un autre locataire.

   # Start an AWS STS client
   sts_client = boto3.client('sts')
   
   # Define your tenants using tags
   # The session tag key must match the principal tag key in your execution role policy
   tags = []
   tag = {}
   tag['Key'] = "tenant-id"
   tag['Value'] = "example-tenant"
   tags.append(tag)
   
   # Have AWS STS assume your ABAC-enabled job creation role
   response = sts_client.assume_role(
       RoleArn="arn:aws:iam::<account-id>:role/<your-training-job-creation-role>",
       RoleSessionName="SessionName",
       Tags=tags)
   credentials = response['Credentials']
   
   # Create a client with your job creation role (which was assumed with tags)
   sagemaker_client = boto3.client(
       'sagemaker',
       aws_access_key_id=credentials['AccessKeyId'],
       aws_secret_access_key=credentials['SecretAccessKey'],
       aws_session_token=credentials['SessionToken']
   )
   sagemaker_session = Session(sagemaker_client=sagemaker_client)

   Lorsque vous ajoutez les balises "tenant-id=example-tenant" au rôle de création de tâche, celles-ci sont extraites par le rôle d’exécution afin d’appliquer la politique suivante :

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::your-input-s3-bucket/example-tenant/*"
               ],
               "Effect": "Allow"
           },
           {
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": "arn:aws:s3:::your-output-s3-bucket/example-tenant/*",
               "Effect": "Allow"
           },
           {
               "Action": "s3:ListBucket",
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }
   

3. Définissez un ModelTrainer pour créer une tâche de formation à l'aide du SDK SageMaker Python. Définissez cette enable_session_tag_chaining option pour permettre True à votre rôle d'exécution de la formation par SageMaker IA de récupérer les balises de votre rôle de création de tâches.

   # Specify your training input
   trainingInput = InputData(
       channel_name='training',
       data_source='s3://<your-input-bucket>/example-tenant'
   )
   
   # Specify your training job execution role 
   execution_role_arn = "arn:aws:iam::<account-id>:role/<your-training-job-execution-role>"
   
   # Define your model trainer with session tag chaining enabled
   model_trainer = ModelTrainer(
       training_image="<your-training-image-uri>",
       role=execution_role_arn,
       compute=Compute(
           instance_type='ml.m4.xlarge',
           instance_count=1,
           volume_size_in_gb=20
       ),
       sagemaker_session=sagemaker_session,
       output_data_config=OutputDataConfig(s3_output_path="s3://<your-output-bucket>/example-tenant"),
       tags=[{"Key": "sagemaker:EnableSessionTagChaining", "Value": "true"}]
   )
   
   model_trainer.train(input_data_config=[trainingInput])