Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Izin dan Keamanan di Amazon Augmented AI

Saat menggunakan Amazon Augmented AI (Amazon A2I) untuk membuat alur kerja tinjauan manusia untuk aplikasi ML/AI Anda, Anda membuat dan mengonfigurasi sumber daya di SageMaker Amazon seperti templat tugas tenaga kerja manusia dan pekerja. Untuk mengonfigurasi dan memulai loop manusia, Anda dapat mengintegrasikan Amazon A2I dengan AWS layanan lain seperti Amazon Ttract atau Amazon Rekognition, atau menggunakan Amazon Augmented AI Runtime. API Untuk membuat alur kerja tinjauan manusia dan memulai loop manusia, Anda harus melampirkan kebijakan tertentu ke peran AWS Identity and Access Management (IAM) atau pengguna Anda. Secara khusus:

CORSPersyaratan Izin

Sebelumnya pada tahun 2020, browser yang banyak digunakan seperti Chrome dan Firefox mengubah perilaku default mereka untuk memutar gambar berdasarkan metadata gambar, yang disebut sebagai data. EXIF Sebelumnya, gambar akan selalu ditampilkan di browser persis bagaimana mereka disimpan pada disk, yang biasanya tidak diputar. Setelah perubahan, gambar sekarang berputar sesuai dengan sepotong metadata gambar yang disebut nilai orientasi. Ini memiliki implikasi penting bagi seluruh komunitas pembelajaran mesin (ML). Misalnya, jika EXIF orientasi tidak dipertimbangkan, aplikasi yang digunakan untuk membubuhi keterangan gambar dapat menampilkan gambar dalam orientasi yang tidak terduga dan menghasilkan label yang salah.

Dimulai dengan Chrome 89, tidak AWS dapat lagi secara otomatis mencegah rotasi gambar karena grup standar web W3C telah memutuskan bahwa kemampuan untuk mengontrol rotasi gambar melanggar Kebijakan Same-Origin web. Oleh karena itu, untuk memastikan pekerja manusia membuat anotasi gambar input Anda dalam orientasi yang dapat diprediksi saat Anda mengirimkan permintaan untuk membuat loop manusia, Anda harus menambahkan kebijakan CORS header ke bucket S3 yang berisi gambar input Anda.

Anda dapat menambahkan CORS kebijakan ke bucket S3 yang berisi data input di konsol Amazon S3. Untuk menyetel CORS header yang diperlukan pada bucket S3 yang berisi gambar masukan Anda di konsol S3, ikuti petunjuk yang dijelaskan di Bagaimana cara menambahkan berbagi sumber daya lintas domain? CORS . Gunakan kode CORS konfigurasi berikut untuk bucket yang menampung gambar Anda. Jika Anda menggunakan konsol Amazon S3 untuk menambahkan kebijakan ke bucket, Anda harus menggunakan formatnyaJSON.

JSON

[{
   "AllowedHeaders": [],
   "AllowedMethods": ["GET"],
   "AllowedOrigins": ["*"],
   "ExposeHeaders": []
}]

XML

<CORSConfiguration>
 <CORSRule>
   <AllowedOrigin>*</AllowedOrigin>
   <AllowedMethod>GET</AllowedMethod>
 </CORSRule>
</CORSConfiguration>

Berikut ini GIF menunjukkan petunjuk yang ditemukan dalam dokumentasi Amazon S3 untuk menambahkan CORS kebijakan header menggunakan konsol Amazon S3.

Menambahkan Izin ke IAM Peran yang Digunakan untuk Membuat Definisi Aliran

Untuk membuat definisi alur, lampirkan kebijakan di bagian ini ke peran yang Anda gunakan saat membuat alur kerja tinjauan manusia di SageMaker konsol, atau saat menggunakan CreateFlowDefinition API operasi.

Saat Anda membuat alur kerja tinjauan manusia (definisi alur), Amazon A2I memanggil Amazon S3 untuk menyelesaikan tugas Anda. Untuk memberikan izin Amazon A2I untuk mengambil dan menyimpan file Anda di bucket Amazon S3, buat kebijakan berikut dan lampirkan ke peran Anda. Misalnya, jika gambar, dokumen, dan file lain yang Anda kirim untuk ditinjau manusia disimpan dalam bucket S3 bernamamy_input_bucket, dan jika Anda ingin ulasan manusia disimpan dalam bucket bernamamy_output_bucket, buat kebijakan berikut.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::my_input_bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::my_output_bucket/*"
            ]
        }
    ]
}

Selain itu, IAM peran tersebut harus memiliki kebijakan kepercayaan berikut untuk memberikan SageMaker izin untuk mengambil peran tersebut. Untuk mempelajari lebih lanjut tentang kebijakan IAM kepercayaan, lihat bagian Kebijakan Berbasis Sumber Daya dari Kebijakan dan Izin di dokumentasi AWS Identity and Access Management.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowSageMakerToAssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "sagemaker.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Untuk informasi selengkapnya tentang membuat dan mengelola IAM peran dan kebijakan, lihat topik berikut di Panduan AWS Identity and Access Management Pengguna:

Buat Pengguna yang Dapat Memanggil Operasi Amazon API A2I

Untuk menggunakan Amazon A2I untuk membuat dan memulai loop manusia untuk Amazon Rekognition, Amazon Textract, atau runtime Amazon A2I, Anda harus menggunakan pengguna yang memiliki izin untuk menjalankan operasi API Amazon A2I. Untuk melakukannya, gunakan IAM konsol untuk melampirkan kebijakan AmazonAugmentedAIFullAccessterkelola ke pengguna baru atau yang sudah ada.

Kebijakan ini memberikan izin kepada pengguna untuk menjalankan API operasi dari pembuatan dan pengelolaan definisi aliran SageMaker API untuk serta API Runtime AI Augmented AI Amazon untuk pembuatan dan pengelolaan loop manusia. Untuk mempelajari lebih lanjut tentang API operasi ini, lihat Menggunakan APIs di Amazon Augmented AI.

AmazonAugmentedAIFullAccesstidak memberikan izin untuk menggunakan Amazon Rekognition atau operasi Amazon Texttract. API

Untuk memberikan akses, menambahkan izin ke pengguna, grup, atau peran Anda:

Untuk informasi selengkapnya, lihat Menambahkan dan Menghapus IAM Izin Identitas di Panduan AWS Identity and Access Management Pengguna.

Buat Pengguna Dengan Izin untuk Memanggil Operasi Amazon A2I, Amazon Texttract, dan Amazon Rekognition API

Untuk membuat pengguna yang memiliki izin untuk menjalankan API operasi yang digunakan oleh tipe tugas bawaan (yaitu, DetectModerationLables untuk Amazon AnalyzeDocument Rekognition dan Amazon Texttract) dan izin untuk menggunakan semua operasi API Amazon A2I, lampirkan kebijakan terkelola,. IAM AmazonAugmentedAIIntegratedAPIAccess Anda mungkin ingin menggunakan kebijakan ini saat ingin memberikan izin luas kepada pengguna yang menggunakan Amazon A2I dengan lebih dari satu jenis tugas. Untuk mempelajari lebih lanjut tentang API operasi ini, lihat Menggunakan APIs di Amazon Augmented AI.

Untuk memberikan akses, menambahkan izin ke pengguna, grup, atau peran Anda:

Untuk informasi selengkapnya, lihat Menambahkan dan Menghapus IAM Izin Identitas di Panduan AWS Identity and Access Management Pengguna.

Aktifkan Pratinjau Template Tugas Pekerja

Untuk menyesuaikan antarmuka dan instruksi yang dilihat pekerja Anda saat mengerjakan tugas Anda, Anda membuat templat tugas pekerja. Anda dapat membuat template menggunakan CreateHumanTaskUioperasi atau SageMaker konsol.

Untuk melihat pratinjau templat, Anda memerlukan IAM peran dengan izin berikut untuk membaca objek Amazon S3 yang dirender di antarmuka pengguna.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::my_input_bucket/*"
            ]
        }
    ]
}

Untuk jenis tugas Amazon Rekognition dan Amazon Textract, Anda dapat melihat pratinjau template menggunakan bagian Amazon Augmented AI di konsol. SageMaker Untuk jenis tugas khusus, Anda melihat pratinjau template Anda dengan menjalankan RenderUiTemplateoperasi. Untuk melihat pratinjau template Anda, ikuti petunjuk untuk jenis tugas Anda:

Menggunakan Amazon A2I dengan AWS KMS Ember Terenkripsi

Jika Anda menentukan AWS Key Management Service (AWS KMS) kunci terkelola pelanggan untuk mengenkripsi data keluaran di OutputConfig of CreateFlowDefinition, Anda harus menambahkan IAM kebijakan yang mirip dengan berikut ini ke kunci tersebut. Kebijakan ini memberikan peran IAM eksekusi yang Anda gunakan untuk membuat izin loop manusia untuk menggunakan kunci ini untuk melakukan semua tindakan yang tercantum di dalamnya"Action". Untuk mempelajari lebih lanjut tentang tindakan ini, lihat AWS KMS izin di Panduan AWS Key Management Service Pengembang.

Untuk menggunakan kebijakan ini, ganti IAM peran layanan "Principal" dengan peran ARN eksekusi ARN yang Anda gunakan untuk membuat alur kerja tinjauan manusia (definisi alur). Saat Anda membuat pekerjaan pelabelan menggunakanCreateFlowDefinition, ini adalah yang ARN Anda tentukan RoleArn. Perhatikan bahwa Anda tidak dapat memberikan KmsKeyId ketika Anda membuat definisi aliran di konsol.

{
    "Sid": "AllowUseOfKmsKey",
    "Effect": "Allow",
    "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/service-role/example-role"
    },
    "Action": [
        "kms:Encrypt",
        "kms:Decrypt",
        "kms:ReEncrypt*",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
    ],
    "Resource": "*"
}

Izin Tambahan dan Sumber Daya Keamanan