View a markdown version of this page

Mengontrol Akses ke Sumber Daya Amazon ML -dengan IAM - Amazon Machine Learning
Sintaks Kebijakan IAMMenentukan Tindakan Kebijakan IAM untuk Amazon MLAmazon MLMenentukan ARN untuk Sumber Daya Amazon ML di Kebijakan IAMContoh Kebijakan untuk Amazon MLs

Kami tidak lagi memperbarui layanan Amazon Machine Learning atau menerima pengguna baru untuk itu. Dokumentasi ini tersedia untuk pengguna yang sudah ada, tetapi kami tidak lagi memperbaruinya. Untuk informasi selengkapnya, lihat Apa itu Amazon Machine Learning.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengontrol Akses ke Sumber Daya Amazon ML -dengan IAM

AWS Identity and Access Management (IAM) memungkinkan Anda mengontrol akses ke layanan dan sumber daya AWS dengan aman untuk pengguna Anda. Menggunakan IAM, Anda dapat membuat dan mengelola pengguna, grup, dan peran AWS, serta menggunakan izin untuk mengizinkan dan menolak akses mereka ke sumber daya AWS.Dengan menggunakan IAM dengan Amazon Machine Learning (Amazon ML), Anda dapat mengontrol apakah pengguna di organisasi Anda dapat menggunakan sumber daya AWS tertentu dan apakah mereka dapat melakukan tugas menggunakan tindakan API Amazon ML tertentu.

IAM memungkinkan Anda untuk:

  • Buat pengguna dan grup di bawah akun AWS Anda.

  • Tetapkan kredensial keamanan unik untuk setiap pengguna di bawah akun AWS Anda

  • Kontrol setiap izin pengguna untuk melakukan tugas menggunakan sumber daya AWS

  • Bagikan sumber daya AWS Anda dengan mudah dengan pengguna di akun AWS Anda

  • Buat peran untuk akun AWS Anda dan kelola izin untuk menentukan pengguna atau layanan yang dapat menganggapnya

  • Anda dapat membuat peran di IAM dan mengelola izin untuk mengontrol operasi mana yang dapat dilakukan oleh entitas, atau layanan AWS, yang mengambil peran tersebut. Anda juga dapat menentukan entitas mana yang diizinkan untuk mengambil peran tersebut.

Jika organisasi Anda sudah memiliki identitas IAM, Anda dapat menggunakannya untuk memberikan izin untuk melakukan tugas menggunakan sumber daya AWS.

Untuk informasi lebih lanjut tentang IAM, lihat Panduan Pengguna IAM.

Sintaks Kebijakan IAM

kebijakan IAM adalah dokumen JSON yang terdiri dari satu atau beberapa pernyataan. Setiap pernyataan memiliki struktur sebagai berikut: 

{
    "Statement":[{
        "Effect":"effect",
        "Action":"action",
        "Resource":"arn",
        "Condition":{
            "condition operator":{
                "key":"value"
            }
        }
    }]
}

Pernyataan kebijakan mencakup elemen-elemen berikut:

  • Efek: Mengontrol izin untuk menggunakan sumber daya dan tindakan API yang akan Anda tentukan nanti dalam pernyataan. Nilai yang valid adalah Allow dan Deny. Secara default, para pengguna IAM tidak memiliki izin untuk menggunakan sumber daya dan tindakan API, jadi semua permintaan akan ditolak. Sebuah eksplisit Allow mengesampingkan default. Sebuah eksplisit menges Deny ampingkan apa punAllows.

  • T indakan: Tindakan atau tindakan API tertentu yang Anda berikan atau menolak izin.

  • Sumber daya: Sumber daya yang dipengaruhi oleh tindakan. Untuk menentukan sumber daya dalam pernyataan, Anda menggunakan Nama Sumber Daya Amazon (ARN).

  • Kondisi (opsional): Mengontrol kapan kebijakan Anda akan berlaku.

Untuk menyederhanakan pembuatan dan pengelolaan kebijakan IAM, Anda dapat menggunakan AWS Policy Generator dan IAM Policy Simulator.

Menentukan Tindakan Kebijakan IAM untuk Amazon MLAmazon ML

Dalam pernyataan kebijakan IAM, Anda dapat menentukan tindakan API untuk layanan apa pun yang mendukung IAM. Saat Anda membuat pernyataan kebijakan untuk tindakan Amazon ML API, tambahkan machinelearning: nama tindakan API, seperti yang ditunjukkan dalam contoh berikut:

  • machinelearning:CreateDataSourceFromS3

  • machinelearning:DescribeDataSources

  • machinelearning:DeleteDataSource

  • machinelearning:GetDataSource

Untuk menentukan beberapa tindakan dalam satu pernyataan, pisahkan dengan koma: 

"Action": ["machinelearning:action1", "machinelearning:action2"]

Anda juga dapat menentukan beberapa tindakan menggunakan wildcard. Misalnya, Anda dapat menentukan semua tindakan yang namanya dimulai dengan kata “Dapatkan”:

"Action": "machinelearning:Get*"

Untuk menentukan semua tindakan Amazon ML, gunakan wildcard *:

"Action": "machinelearning:*"

Untuk daftar lengkap tindakan Amazon ML API, lihat Referensi API Pembelajaran Mesin Amazon.

Menentukan ARN untuk Sumber Daya Amazon ML di Kebijakan IAM

Pernyataan kebijakan IAM berlaku untuk satu atau lebih sumber daya. Anda menentukan sumber daya untuk kebijakan Anda berdasarkan ARN-nya.

Untuk menentukan ARN untuk sumber daya Amazon ML, gunakan format berikut:

“Sumber Daya”: arn:aws:machinelearning:region:account:resource-type/identifier

Contoh berikut menunjukkan cara menentukan ARN umum.

ID Sumber Data: my-s3-datasource-id 


"Resource":
arn:aws:machinelearning:<region>:<your-account-id>:datasource/my-s3-datasource-id

ID model ML: my-ml-model-id 


"Resource":
arn:aws:machinelearning:<region>:<your-account-id>:mlmodel/my-ml-model-id

ID prediksi batch: my-batchprediction-id 


"Resource":
arn:aws:machinelearning:<region>:<your-account-id>:batchprediction/my-batchprediction-id

ID Evaluasi: my-evaluation-id 


"Resource": arn:aws:machinelearning:<region>:<your-account-id>:evaluation/my-evaluation-id

Contoh Kebijakan untuk Amazon MLs

Contoh 1: Izinkan pengguna membaca metadata sumber daya pembelajaran mesin

Kebijakan berikut memungkinkan pengguna atau grup membaca metadata sumber data, model ML, prediksi batch, dan evaluasi dengan melakukan, describeMLModels DescribeDataSources,,,, getMLModel DescribeBatchPredictions DescribeEvaluations, GetDataSource GetBatchPrediction, dan GetEvaluation tindakan pada sumber daya yang ditentukan. Izin operasi Deskripsi* tidak dapat dibatasi pada sumber daya tertentu.

JSON
{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [
    "machinelearning:Get*" ], "Resource": [
        "arn:aws:machinelearning:us-east-1:123456789012:datasource/S3-DS-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:datasource/REDSHIFT-DS-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:mlmodel/ML-MODEL-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:batchprediction/BP-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:evaluation/EV-ID1"
    ] }, { "Effect": "Allow", "Action": [ "machinelearning:Describe*" ], "Resource": [ "*" ] } ]
    }

Contoh 2: Izinkan pengguna membuat sumber daya pembelajaran mesin

Kebijakan berikut memungkinkan pengguna atau grup membuat sumber data pembelajaran mesin, model ML, prediksi batch, dan evaluasi dengan melakukanCreateDataSourceFromS3,,,CreateDataSourceFromRedshift, CreateDataSourceFromRDS CreateMLModelCreateBatchPrediction, dan CreateEvaluation tindakan. Anda tidak dapat membatasi izin untuk tindakan ini ke sumber daya tertentu.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "machinelearning:CreateDataSourceFrom*",
                "machinelearning:CreateMLModel",
                "machinelearning:CreateBatchPrediction",
                "machinelearning:CreateEvaluation"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}

Contoh 3: Izinkan pengguna untuk membuat dan menghapus) titik akhir real-time dan melakukan prediksi real-time pada model ML

Kebijakan berikut memungkinkan pengguna atau grup untuk membuat dan menghapus titik akhir real-time dan melakukan prediksi real-time untuk model ML tertentu dengan melakukanCreateRealtimeEndpoint,DeleteRealtimeEndpoint, dan Predict tindakan pada model tersebut.

JSON
{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [
    "machinelearning:CreateRealtimeEndpoint", "machinelearning:DeleteRealtimeEndpoint",
    "machinelearning:Predict" ], "Resource": [
        "arn:aws:machinelearning:us-east-1:123456789012:mlmodel/ML-MODEL"
    ] } ] }

Contoh 4: Izinkan pengguna memperbarui dan menghapus sumber daya tertentu

Kebijakan berikut memungkinkan pengguna atau grup untuk memperbarui dan menghapus sumber daya tertentu di akun AWS Anda dengan memberi mereka izin untuk melakukanUpdateDataSource,,UpdateMLModel,UpdateBatchPrediction,UpdateEvaluation,DeleteDataSource, DeleteMLModelDeleteBatchPrediction, dan DeleteEvaluation tindakan pada sumber daya tersebut di akun Anda.

JSON
{ "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [
    "machinelearning:Update*", "machinelearning:DeleteDataSource", "machinelearning:DeleteMLModel",
    "machinelearning:DeleteBatchPrediction", "machinelearning:DeleteEvaluation" ], "Resource": [
        "arn:aws:machinelearning:us-east-1:123456789012:datasource/S3-DS-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:datasource/REDSHIFT-DS-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:mlmodel/ML-MODEL-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:batchprediction/BP-ID1",
        "arn:aws:machinelearning:us-east-1:123456789012:evaluation/EV-ID1"
    ] } ] }

Contoh 5: Izinkan Amazon MLAction apa pun

Kebijakan berikut memungkinkan pengguna atau grup untuk menggunakan tindakan Amazon ML apa pun. Karena kebijakan ini memberikan akses penuh ke semua sumber daya pembelajaran mesin Anda, batasi hanya untuk administrator.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "machinelearning:*"
            ],
            "Resource": [
                "*"
            ]
        }
    ]
}