Menyiapkan kluster Amazon EKS di Studio

Di bawah halaman Kelola akses, pilih domain yang ada. Akses studio ke HyperPod klaster berjalan melalui domain, dan peran eksekusi domain adalah yang digunakan Studio utama IAM untuk bertindak pada klaster Anda. Untuk informasi tentang membuat domain, lihatPanduan untuk mengatur dengan Amazon SageMaker AI.

Lampirkan izin berikut ke peran eksekusi Anda dari konsol IAM.

Untuk informasi tentang peran eksekusi SageMaker AI dan cara mengeditnya, lihatMemahami izin ruang domain dan peran eksekusi.

Untuk mempelajari cara melampirkan kebijakan ke pengguna atau grup IAM, lihat Menambahkan dan menghapus izin identitas IAM.

Sebelum Anda melampirkan kebijakan, ganti kedua contoh ARN dengan ARN Anda sendiri:

Ini adalah dua sumber daya yang berbeda dengan dua ARN yang berbeda. Temukan ARN HyperPod cluster di konsol SageMaker AI dan ARN cluster Amazon EKS di konsol Amazon EKS. Jika Anda membiarkan nilai contoh di tempatnya, Studio tidak dapat menjelaskan klaster Anda dan tab Tugas tidak dimuat.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DescribeHyperpodClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeCluster"
            ],
            "Resource": "arn:aws:sagemaker:us-east-1:111122223333:cluster/hyperpod-cluster-name"
        },
        {
            "Effect": "Allow",
            "Action": "ec2:Describe*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ecr:CompleteLayerUpload",
                "ecr:GetAuthorizationToken",
                "ecr:UploadLayerPart",
                "ecr:InitiateLayerUpload",
                "ecr:BatchCheckLayerAvailability",
                "ecr:PutImage"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "cloudwatch:GetMetricData"
            ],
            "Resource": "*"
        },
        {
            "Sid": "UseEksClusterPermissions",
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:AccessKubernetesApi",
                "eks:MutateViaKubernetesApi"
            ],
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name"
        },
        {
            "Sid": "DescribeSpacesAddon",
            "Effect": "Allow",
            "Action": "eks:DescribeAddon",
            "Resource": "arn:aws:eks:us-east-1:111122223333:cluster/eks-cluster-name/*"
        },
        {
            "Sid": "ListClustersPermission",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListClusters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ssm:StartSession",
                "ssm:TerminateSession"
            ],
            "Resource": "*"
        }
    ]
}

Lampirkan kebijakan akses cluster ke peran eksekusi. Kebijakan IAM pada langkah sebelumnya memungkinkan peran eksekusi memanggil AWS API. Itu tidak memberikan peran izin apa pun di dalam klaster Kubernetes. Cluster-access kebijakan melakukan itu, dan hanya peran dengan peran yang tepat yang terlampir yang mencapai cluster. Lampirkan dari Kelola akses, pada domain atau profil pengguna.

Pilih peran eksekusi untuk domain atau profil pengguna yang Anda berikan akses, lalu pilih kebijakan yang dibutuhkan pengguna Anda. Pilih apakah akan mengakses cakupan ke namespace atau ke seluruh klaster, pelingkupan ke namespace saat tim berbagi cluster, lalu simpan. Pelingkupan ke namespace juga membatasi tugas mana yang dapat dilihat pengguna tersebut di Studio. Untuk apa yang diizinkan oleh setiap kebijakan, cara mengakses cakupan, dan cara memberikan sekumpulan izin khusus, lihatBatasi tampilan tugas di Studio untuk kluster EKS.

Memberikan akses dengan cara ini membuat entri akses Amazon EKS untuk peran eksekusi untuk Anda, jadi tidak ada langkah terpisah di konsol Amazon EKS. Untuk konsep di balik model akses, lihat Memberi akses kepada pengguna IAM ke Kubernetes dengan entri akses EKS.

(Opsional) Untuk memastikan pengalaman yang lebih lancar, kami sarankan Anda menambahkan tag ke cluster Anda. Untuk informasi tentang cara menambahkan tag, lihat Mengedit SageMaker HyperPod klaster untuk memperbarui klaster Anda menggunakan konsol SageMaker AI.

Tandai ruang kerja Grafana Terkelola Amazon Anda ke domain Studio Anda. Gunakan tag ini untuk menautkan ke ruang kerja Grafana langsung dari klaster di Studio. Tambahkan tag berikut ke cluster Anda untuk mengidentifikasinya dengan ID ruang kerja Grafana Anda,. ws-id

Kunci Tag = “grafana-workspace”, Nilai Tag = “ws-id”.

Simpan konfigurasi YAMB ke file bernamacluster-role.yaml.

Terapkan konfigurasi menggunakan kubectldari situs web Kubernetes:

kubectl apply -f cluster-role.yaml

Verifikasi konfigurasi:

kubectl get clusterrole pods-events-crd-cluster-role
kubectl get clusterrolebinding pods-events-crd-cluster-role-binding

Tetapkan pengguna ke pods-events-crd-cluster-level grup melalui penyedia identitas atau IAM Anda.