Berikan Izin Pengguna untuk Menggunakan Data Besar di seluruh Siklus Hidup ML

Arahkan ke pengaturan domain Amazon SageMaker AI:

1. Buka konsol Amazon SageMaker AI di https://console.aws.amazon.com/sagemaker/.

2. Di panel navigasi kiri, pilih Domain.

3. Pilih domain Anda.

4. Pilih tab Konfigurasi Aplikasi.

5. Gulir ke bagian Canvas dan pilih Edit.

Aktifkan pemrosesan data besar:

1. Di bagian konfigurasi pemrosesan data besar, aktifkan Aktifkan EMR Tanpa Server untuk pemrosesan data besar.

2. Buat atau pilih peran EMR Tanpa Server:

   1. Pilih Buat dan gunakan peran eksekusi baru untuk membuat peran IAM baru yang memiliki hubungan kepercayaan dengan EMR Tanpa Server dan kebijakan terlampir. AWS kebijakan terkelola: AmazonSageMakerCanvas EMRServerless ExecutionRolePolicy Peran IAM ini diasumsikan oleh Canvas untuk membuat pekerjaan EMR Tanpa Server.

   2. Atau, jika Anda sudah memiliki peran eksekusi dengan hubungan kepercayaan untuk EMR Tanpa Server, pilih Gunakan peran eksekusi yang ada dan pilih peran Anda dari menu tarik-turun.

      • Peran yang ada harus memiliki nama yang dimulai dengan awalanAmazonSageMakerCanvasEMRSExecutionAccess-.

      • Peran yang Anda pilih juga harus memiliki setidaknya izin yang dijelaskan dalam AWS kebijakan terkelola: AmazonSageMakerCanvas EMRServerless ExecutionRolePolicy kebijakan.

      • Peran tersebut harus memiliki kebijakan kepercayaan EMR Tanpa Server, seperti yang ditunjukkan di bawah ini:

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(Opsional) Tambahkan izin Amazon S3 untuk bucket Amazon S3 kustom:

1. Kebijakan terkelola Canvas secara otomatis memberikan izin baca dan tulis untuk bucket Amazon S3 sagemaker dengan SageMaker AI atau dalam nama mereka. Ini juga memberikan izin baca untuk objek di bucket Amazon S3 khusus dengan tag. "SageMaker": "true"

2. Untuk bucket Amazon S3 kustom tanpa tag yang diperlukan, tambahkan kebijakan berikut ke peran EMR Tanpa Server Anda:

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Kami menyarankan Anda untuk memasukkan izin ke bucket Amazon S3 tertentu yang ingin diakses Canvas.

Simpan perubahan Anda dan mulai ulang aplikasi SageMaker Canvas Anda.

Tambahkan izin untuk DescribeImages operasi Amazon ECR ke peran eksekusi Amazon SageMaker AI Anda, karena Canvas menggunakan image Amazon ECR Docker publik untuk persiapan data dan pelatihan model:

1. Masuk ke AWS konsol dan buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Pilih Peran.

3. Di kotak pencarian, cari peran eksekusi SageMaker AI Anda berdasarkan nama dan pilih.

4. Tambahkan kebijakan berikut ke peran eksekusi SageMaker AI Anda. Ini dapat dilakukan baik dengan menambahkannya sebagai kebijakan inline baru atau dengan menambahkan pernyataan kebijakan ke yang sudah ada. Perhatikan bahwa peran IAM dapat memiliki maksimal 10 kebijakan yang dilampirkan.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

Simpan perubahan Anda dan mulai ulang aplikasi SageMaker Canvas Anda.

Pastikan subnet VPC Anda bersifat pribadi:

1. Verifikasi bahwa tabel rute untuk subnet Anda tidak memiliki pemetaan entri 0.0.0.0/0 ke Internet Gateway.

Tambahkan izin untuk membuat antarmuka jaringan:

1. Saat menggunakan SageMaker Canvas dengan EMR Serverless untuk pemrosesan data skala besar, EMR Serverless memerlukan kemampuan untuk membuat Amazon EC2 ENIs untuk mengaktifkan komunikasi jaringan antara aplikasi EMR Tanpa Server dan sumber daya VPC Anda.

2. Tambahkan kebijakan berikut ke peran eksekusi Amazon SageMaker AI Anda. Ini dapat dilakukan baik dengan menambahkannya sebagai kebijakan inline baru atau dengan menambahkan pernyataan kebijakan ke yang sudah ada. Perhatikan bahwa peran IAM dapat memiliki maksimal 10 kebijakan yang dilampirkan.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(Opsional) Batasi pembuatan ENI ke subnet tertentu:

1. Untuk lebih mengamankan pengaturan Anda dengan membatasi pembuatan ENIs subnet tertentu dalam VPC Anda, Anda dapat menandai setiap subnet dengan kondisi tertentu.

2. Gunakan kebijakan IAM berikut untuk memastikan bahwa aplikasi EMR Tanpa Server hanya dapat membuat EC2 ENIs Amazon dalam subnet dan grup keamanan yang diizinkan:

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

Ikuti langkah-langkah pada halaman Konfigurasikan Amazon SageMaker Canvas di VPC tanpa akses internet untuk mengatur titik akhir VPC untuk Amazon S3, yang diperlukan oleh EMR Tanpa Server dan layanan lain yang digunakan oleh Canvas. AWS SageMaker

Simpan perubahan Anda dan mulai ulang aplikasi SageMaker Canvas Anda.