Berikan Izin Pengguna untuk Menggunakan Data Besar di seluruh Siklus Hidup ML

Arahkan ke pengaturan SageMaker domain Amazon:

1. Buka SageMaker konsol Amazon di https://console.aws.amazon.com/sagemaker/.

2. Di panel navigasi kiri, pilih Domain.

3. Pilih domain Anda.

4. Pilih tab Konfigurasi Aplikasi.

5. Gulir ke bagian Canvas dan pilih Edit.

Aktifkan pemrosesan data besar:

1. Di bagian konfigurasi pemrosesan data besar, aktifkan Aktifkan EMR Tanpa Server untuk pemrosesan data besar.

2. Buat atau pilih peran EMR Tanpa Server:

   1. Pilih Buat dan gunakan peran eksekusi baru untuk membuat IAM peran baru yang memiliki hubungan kepercayaan dengan EMR Tanpa Server dan AWS kebijakan terkelola: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy kebijakan terlampir. IAMPeran ini diasumsikan oleh Canvas untuk menciptakan EMR pekerjaan Tanpa Server.

   2. Atau, jika Anda sudah memiliki peran eksekusi dengan hubungan kepercayaan untuk EMR Tanpa Server, pilih Gunakan peran eksekusi yang ada dan pilih peran Anda dari menu tarik-turun.

      • Peran yang ada harus memiliki nama yang dimulai dengan awalanAmazonSageMakerCanvasEMRSExecutionAccess-.

      • Peran yang Anda pilih juga harus memiliki setidaknya izin yang dijelaskan dalam AWS kebijakan terkelola: AmazonSageMakerCanvas EMRServerlessExecutionRolePolicy kebijakan.

      • Peran tersebut harus memiliki kebijakan kepercayaan EMR Tanpa Server, seperti yang ditunjukkan di bawah ini:

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(Opsional) Tambahkan izin Amazon S3 untuk bucket Amazon S3 kustom:

1. Kebijakan terkelola Canvas secara otomatis memberikan izin baca dan tulis untuk bucket Amazon S3 sagemaker dengan SageMaker atau dalam namanya. Ini juga memberikan izin baca untuk objek di bucket Amazon S3 khusus dengan tag. "SageMaker": "true"

2. Untuk bucket Amazon S3 khusus tanpa tag yang diperlukan, tambahkan kebijakan berikut ke peran Tanpa Server AndaEMR:

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Kami menyarankan Anda untuk memasukkan izin ke bucket Amazon S3 tertentu yang ingin diakses Canvas.

Simpan perubahan Anda dan mulai ulang aplikasi SageMaker Canvas Anda.

Tambahkan izin untuk ECR DescribeImages operasi Amazon ke peran SageMaker eksekusi Amazon Anda, karena Canvas menggunakan gambar Amazon ECR Docker publik untuk persiapan data dan pelatihan model:

1. Masuk ke AWS konsol dan buka IAM konsol di https://console.aws.amazon.com/iam/.

2. Pilih Peran.

3. Di kotak pencarian, cari peran SageMaker eksekusi Anda berdasarkan nama dan pilih.

4. Tambahkan kebijakan berikut ke peran SageMaker eksekusi Anda. Ini dapat dilakukan baik dengan menambahkannya sebagai kebijakan inline baru atau dengan menambahkan pernyataan kebijakan ke yang sudah ada. Perhatikan bahwa IAM peran dapat memiliki maksimal 10 kebijakan yang dilampirkan.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

Simpan perubahan Anda dan mulai ulang aplikasi SageMaker Canvas Anda.

Pastikan VPC subnet Anda bersifat pribadi:

1. Verifikasi bahwa tabel rute untuk subnet Anda tidak memiliki pemetaan entri 0.0.0.0/0 ke Internet Gateway.

Tambahkan izin untuk membuat antarmuka jaringan:

1. Saat menggunakan SageMaker Canvas dengan EMR Tanpa Server untuk pemrosesan data skala besar, EMR Tanpa Server memerlukan kemampuan untuk membuat Amazon EC2 ENIs untuk mengaktifkan komunikasi jaringan antara aplikasi Tanpa EMR Server dan sumber daya Anda. VPC

2. Tambahkan kebijakan berikut ke peran SageMaker eksekusi Amazon Anda. Ini dapat dilakukan baik dengan menambahkannya sebagai kebijakan inline baru atau dengan menambahkan pernyataan kebijakan ke yang sudah ada. Perhatikan bahwa IAM peran dapat memiliki maksimal 10 kebijakan yang dilampirkan.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(Opsional) Batasi ENI pembuatan ke subnet tertentu:

1. Untuk lebih mengamankan pengaturan Anda dengan membatasi pembuatan ENIs subnet tertentu di dalam AndaVPC, Anda dapat menandai setiap subnet dengan kondisi tertentu.

2. Gunakan IAM kebijakan berikut untuk memastikan bahwa aplikasi EMR Tanpa Server hanya dapat membuat Amazon EC2 ENIs dalam subnet dan grup keamanan yang diizinkan:

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

Ikuti langkah-langkah pada halaman Konfigurasikan Amazon SageMaker Canvas VPC tanpa akses internet untuk mengatur VPC titik akhir untuk Amazon S3, yang diperlukan EMR oleh Tanpa Server dan lainnya AWS layanan yang digunakan oleh SageMaker Canvas.

Simpan perubahan Anda dan mulai ulang aplikasi SageMaker Canvas Anda.