Configurer les applications d'IA pour les partenaires

Accordez des autorisations pour AWS Marketplace. Les administrateurs de Partner AI Apps ont besoin de ces autorisations pour acheter des abonnements à Partner AI Apps auprès de AWS Marketplace. Pour y accéder AWS Marketplace, les administrateurs doivent associer la politique AWSMarketplaceManageSubscriptions gérée au rôle IAM qu'ils utilisent pour accéder à la console SageMaker AI et acheter l'application. Pour plus de détails sur la politique AWSMarketplaceManageSubscriptions gérée, consultez la section Politiques AWS gérées pour AWS Marketplace les acheteurs. Pour plus d'informations sur l'attachement de politiques gérées, consultez la section Ajout et suppression d'autorisations d'identité IAM.

Accordez à SageMaker AI l'autorisation d'exécuter des opérations pour le compte des administrateurs en utilisant d'autres Services AWS. Les administrateurs doivent autoriser l' SageMaker IA à utiliser ces services et les ressources sur lesquelles ils agissent. La définition de politique suivante explique comment accorder les autorisations requises pour les applications Partner AI. Ces autorisations sont nécessaires en plus des autorisations existantes pour le rôle d'administrateur. Pour de plus amples informations, veuillez consulter Comment utiliser les rôles d'exécution de l' SageMaker IA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:CreatePartnerApp",
                "sagemaker:DeletePartnerApp",
                "sagemaker:UpdatePartnerApp",
                "sagemaker:DescribePartnerApp",
                "sagemaker:ListPartnerApps",
                "sagemaker:CreatePartnerAppPresignedUrl",
                "sagemaker:CreatePartnerApp",
                "sagemaker:AddTags",
                "sagemaker:ListTags",
                "sagemaker:DeleteTags"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                     "iam:PassedToService": "sagemaker.amazonaws.com"
                 } 
            }
        }
    ]
}

Les applications d'IA partenaires nécessitent un rôle d'exécution pour interagir avec les ressources du Compte AWS. Les administrateurs peuvent créer ce rôle d'exécution à l'aide du AWS CLI. L'application Partner AI utilise ce rôle pour effectuer des actions liées aux fonctionnalités de l'application Partner AI.

aws iam create-role --role-name PartnerAiAppExecutionRole --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "sagemaker.amazonaws.com"
        ]
      },
      "Action": "sts:AssumeRole"
    }
  ]
}'

Créez le rôle AWS License Manager lié à un service en suivant les étapes décrites dans Créer un rôle lié à un service pour License Manager. 

Autorisez l'application Partner AI à accéder au License Manager à l'aide du AWS CLI. Ces autorisations sont nécessaires pour accéder aux licences de l'application Partner AI. Cela permet à l'application Partner AI de vérifier l'accès à la licence de l'application Partner AI.

aws iam put-role-policy --role-name PartnerAiAppExecutionRole --policy-name LicenseManagerPolicy --policy-document '{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Action": [
      "license-manager:CheckoutLicense",
      "license-manager:CheckInLicense",
      "license-manager:ExtendLicenseConsumption",
      "license-manager:GetLicense",
      "license-manager:GetLicenseUsage"
    ],
    "Resource": "*"
  }
}'

Si l'application Partner AI nécessite l'accès à un compartiment Amazon S3, ajoutez des autorisations Amazon S3 au rôle d'exécution. Pour plus d'informations, consultez Autorisations requises pour les opérations d'API Amazon S3.

Accordez à SageMaker AI l'autorisation d'exécuter des opérations en votre nom en utilisant d'autres Services AWS. Les administrateurs doivent autoriser l' SageMaker IA à utiliser ces services et les ressources sur lesquelles ils agissent. Les administrateurs accordent ces autorisations à SageMaker AI en utilisant un rôle d'exécution IAM. Pour plus d'informations sur les rôles IAM, consultez la section Rôles IAM. La définition de politique suivante explique comment accorder les autorisations requises pour les applications Partner AI. Cette politique peut être ajoutée au rôle d'exécution du profil utilisateur.  Pour de plus amples informations, veuillez consulter Comment utiliser les rôles d'exécution de l' SageMaker IA.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribePartnerApp",
                "sagemaker:ListPartnerApps",
                "sagemaker:CreatePartnerAppPresignedUrl"
            ],
            "Resource": "arn:aws:sagemaker:*:*:partner-app/app-*"
        }
    ]
}

(Facultatif) Si vous lancez des applications d'IA partenaires depuis Studio, ajoutez la politique de sts:TagSession confiance au rôle utilisé pour lancer directement Studio ou les applications d'IA partenaires comme suit. Cela garantit que l'identité peut être propagée correctement.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "sagemaker.amazonaws.com"
    },
    "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
             ]
}

(Facultatif) Si vous utilisez le SDK d'une application Partner AI pour accéder aux fonctionnalités de l' SageMaker IA, ajoutez l'CallPartnerAppApiautorisation suivante au rôle utilisé pour exécuter le code du SDK. Si vous exécutez le code du SDK depuis Studio, ajoutez l'autorisation au rôle d'exécution de Studio. Si vous exécutez le code depuis un autre endroit que Studio, ajoutez l'autorisation au rôle IAM utilisé avec le bloc-notes. Cela permet à l'utilisateur d'accéder à la fonctionnalité de l'application Partner AI à partir du SDK de l'application Partner AI.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": [
                "sagemaker:CallPartnerAppApi"
            ],
            "Resource": [
                "arn:aws:sagemaker:region:account:partner-app/app"
            ]
        }
    ]
}