Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Gestion des identités et des accès AWS pour SageMaker HyperPod
Gestion des identités et des accès AWS (IAM) est un AWS service qui aide un administrateur à contrôler en toute sécurité l'accès aux AWS ressources. Des administrateurs IAM contrôlent les personnes qui peuvent être authentifiées (connectées) et autorisées (disposant d'autorisations) pour utiliser des ressources Amazon EKS. IAM est un AWS service que vous pouvez utiliser sans frais supplémentaires.
Important
Les politiques IAM personnalisées qui permettent à Amazon SageMaker Studio ou Amazon SageMaker Studio Classic de créer SageMaker des ressources Amazon doivent également autoriser l'ajout de balises à ces ressources. L’autorisation d’ajouter des balises aux ressources est requise, car Studio et Studio Classic balisent automatiquement toutes les ressources qu’ils créent. Si une politique IAM autorise Studio et Studio Classic à créer des ressources mais n'autorise pas le balisage, des erreurs peuvent se produire lors de la tentative de création de ressources. AccessDenied Pour de plus amples informations, veuillez consulter Fournir des autorisations pour le balisage des ressources d' SageMaker IA.
AWS politiques gérées pour Amazon SageMaker AIqui accordent des autorisations pour créer des SageMaker ressources incluent déjà des autorisations pour ajouter des balises lors de la création de ces ressources.
Supposons qu'il existe deux couches principales d' SageMaker HyperPod utilisateurs : les administrateurs du cluster et les utilisateurs des data scientists.
-
Utilisateurs administrateurs de clusters : ils sont responsables de la création et de la gestion des SageMaker HyperPod clusters. Cela inclut la configuration des HyperPod clusters et la gestion de l'accès des utilisateurs à ceux-ci.
-
Créez et configurez SageMaker HyperPod des clusters avec Slurm ou Amazon EKS.
-
Créez et configurez des rôles IAM pour les utilisateurs des data scientists et les ressources HyperPod du cluster.
-
Pour l' SageMaker HyperPod orchestration avec Amazon EKS, créez et configurez des entrées d'accès EKS, un contrôle d'accès basé sur les rôles (RBAC) et Pod Identity pour répondre aux cas d'utilisation de la science des données.
-
-
Utilisateurs scientifiques des données : concentrez-vous sur l’entraînement des modèles ML. Ils utilisent l'orchestrateur open source ou la SageMaker HyperPod CLI pour soumettre et gérer les tâches de formation.
-
Assumez et utilisez le rôle IAM fourni par les utilisateurs administrateurs de cluster.
-
Interagissez avec les interfaces de ligne de commande open source prises en charge par SageMaker HyperPod (Slurm ou Kubernetes) ou avec la SageMaker HyperPod CLI pour vérifier la capacité des clusters, vous connecter au cluster et soumettre des charges de travail.
-
Configurez des rôles IAM pour les administrateurs de clusters en leur attribuant les autorisations ou les politiques appropriées pour faire fonctionner SageMaker HyperPod les clusters. Les administrateurs de cluster doivent également créer des rôles IAM à fournir aux SageMaker HyperPod ressources nécessaires à l'exécution et à la communication avec les AWS ressources nécessaires, telles qu'Amazon S3 CloudWatch, Amazon et AWS Systems Manager (SSM). Enfin, l'administrateur du AWS compte ou les administrateurs du cluster doivent autoriser les scientifiques à accéder aux SageMaker HyperPod clusters et à exécuter des charges de travail de machine learning.
En fonction de l’orchestrateur que vous choisissez, les autorisations requises pour l’administrateur de cluster et les scientifiques peuvent varier. Vous pouvez également contrôler l’étendue des autorisations pour différentes actions dans les rôles à l’aide des clés de condition par service. Utilisez les références d'autorisation de service suivantes pour ajouter une étendue détaillée aux services associés à SageMaker HyperPod.
-
Amazon Elastic Container Registry (pour l'orchestration de SageMaker HyperPod clusters avec Amazon EKS)
-
Amazon Elastic Kubernetes Service (pour l'orchestration de SageMaker HyperPod clusters avec Amazon EKS)
Rubriques
Autorisations IAM pour la création de clusters
La création de HyperPod clusters nécessite les autorisations IAM décrites dans l'exemple de politique suivant. Si vous AdministratorAccess disposez Compte AWS d'autorisations, celles-ci sont accordées par défaut.
Utilisateurs IAM pour l’administrateur de cluster
Les administrateurs de clusters (administrateurs) exploitent et configurent les SageMaker HyperPod clusters, en effectuant les tâches dansSageMaker HyperPod Opérations du cluster Slurm. L'exemple de politique suivant inclut l'ensemble minimum d'autorisations permettant aux administrateurs de clusters d'exécuter les API SageMaker HyperPod principales et de gérer les SageMaker HyperPod clusters au sein de votre AWS compte.
Note
Les utilisateurs IAM dotés de rôles d'administrateur de cluster peuvent utiliser des clés de condition pour fournir un contrôle d'accès granulaire lors de la gestion des ressources du SageMaker HyperPod cluster spécifiquement pour les actions CreateCluster etUpdateCluster. Pour trouver les clés de condition prises en charge pour ces actions, recherchez CreateCluster ou UpdateCluster dans les Actions définies par l' SageMaker IA.
Pour accorder des autorisations d'accès à la console SageMaker AI, utilisez l'exemple de politique fourni dans Autorisations requises pour utiliser la console Amazon SageMaker AI.
Pour accorder des autorisations d'accès à la console Amazon EC2 Systems Manager, utilisez l'exemple de politique fourni dans la section Utilisation de la AWS Systems Manager console du Guide de l' AWS Systems Manager utilisateur.
Vous pouvez également envisager d'associer la AmazonSageMakerFullAccess politique au rôle ; toutefois, notez que la AmazonSageMakerFullAccess politique accorde des autorisations pour l'ensemble des appels d' SageMaker API, des fonctionnalités et des ressources.
Pour obtenir des conseils sur les utilisateurs IAM en général, consultez Utilisateurs IAM dans le Guide de l’utilisateur Gestion des identités et des accès AWS .
Utilisateurs IAM pour les scientifiques
Les scientifiques se connectent et exécutent des charges de travail de machine learning sur des nœuds de SageMaker HyperPod cluster provisionnés par les administrateurs du cluster. Pour les scientifiques de votre AWS compte, vous devez autoriser l'exécution "ssm:StartSession" de la start-session commande SSM. Vous trouverez ci-dessous un exemple de politique pour les utilisateurs IAM.
Rôle IAM pour SageMaker HyperPod
Pour que les SageMaker HyperPod clusters puissent s'exécuter et communiquer avec AWS les ressources nécessaires, vous devez créer un rôle IAM à assumer par le HyperPod cluster.
Commencez par attacher le rôle géré AWS stratégie gérée : AmazonSageMakerHyperPodServiceRolePolicy. Dans le cadre de cette politique AWS gérée, les groupes d'instances de SageMaker HyperPod cluster ont pour rôle de communiquer avec Amazon CloudWatch, Amazon S3 et AWS Systems Manager l'agent (agent SSM). Cette stratégie gérée constitue la configuration minimale requise pour que les SageMaker HyperPod ressources fonctionnent correctement. Vous devez donc attribuer un rôle IAM avec cette politique à tous les groupes d'instances.
Astuce
En fonction de vos préférences en matière de conception du niveau d’autorisations pour plusieurs groupes d’instances, vous pouvez également configurer plusieurs rôles IAM et les attacher à différents groupes d’instances. Lorsque vous configurez l'accès utilisateur de votre cluster à des nœuds de SageMaker HyperPod cluster spécifiques, les nœuds assument le rôle avec les autorisations sélectives que vous avez attachées manuellement.
Lorsque vous configurez l’accès des scientifiques à des nœuds de cluster spécifiques via AWS Systems Manager
Une fois que vous avez terminé de créer des rôles IAM, notez leurs noms et leurs ARN. Vous utilisez les rôles lors de la création d'un SageMaker HyperPod cluster, en accordant les autorisations appropriées requises pour que chaque groupe d'instances communique avec les AWS ressources nécessaires.
