View a markdown version of this page

Buat Peran SageMaker Eksekusi AI untuk Pekerjaan Pelabelan Kebenaran Dasar - Amazon SageMaker AI
Built-In Jenis Tugas (Non-streaming) Persyaratan Peran EksekusiBuilt-In Persyaratan Peran Eksekusi Jenis Tugas (Streaming)Persyaratan Peran Eksekusi untuk Jenis Tugas KustomPersyaratan Izin Pelabelan Data Otomatis

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Buat Peran SageMaker Eksekusi AI untuk Pekerjaan Pelabelan Kebenaran Dasar

Saat mengonfigurasi pekerjaan pelabelan, Anda perlu memberikan peran eksekusi, yang merupakan peran yang SageMaker diizinkan oleh AI untuk memulai dan menjalankan pekerjaan pelabelan Anda.

Peran ini harus memberikan izin Ground Truth untuk mengakses hal berikut:

  • Amazon S3 untuk mengambil data input Anda dan menulis data keluaran ke bucket Amazon S3. Anda dapat memberikan izin untuk peran IAM untuk mengakses seluruh bucket dengan menyediakan bucket ARN, atau Anda dapat memberikan akses ke peran untuk mengakses sumber daya tertentu dalam bucket. Misalnya, ARN untuk bucket mungkin terlihat mirip dengan arn:aws:s3:::amzn-s3-demo-bucket1 dan ARN sumber daya dalam bucket Amazon S3 mungkin terlihat mirip denganarn:aws:s3:::amzn-s3-demo-bucket1/prefix/file-name.png. Untuk menerapkan tindakan ke semua sumber daya di bucket Amazon S3, Anda dapat menggunakan wild card:*. Misalnya, arn:aws:s3:::amzn-s3-demo-bucket1/prefix/*. Untuk informasi selengkapnya, lihat Sumber Daya Amazon Amazon S3 di Panduan Pengguna Layanan Penyimpanan Sederhana Amazon.

  • CloudWatch untuk mencatat metrik pekerja dan memberi label status pekerjaan.

  • AWS KMS untuk enkripsi data. (Opsional)

  • AWS Lambda untuk memproses data input dan output saat Anda membuat alur kerja kustom.

Selain itu, jika Anda membuat pekerjaan pelabelan streaming, peran ini harus memiliki izin untuk mengakses:

  • Amazon SQS untuk membuat interaksi dengan antrian SQS yang digunakan untuk mengelola permintaan pelabelan.

  • Amazon SNS untuk berlangganan dan mengambil pesan dari topik input Amazon SNS Anda dan mengirim pesan ke topik keluaran Amazon SNS Anda.

Semua izin ini dapat diberikan dengan kebijakan ter AmazonSageMakerGroundTruthExecution kelola kecuali:

  • Enkripsi volume data dan penyimpanan bucket Amazon S3 Anda. Untuk mempelajari cara mengonfigurasi izin ini, lihatEnkripsi Data Output dan Volume Penyimpanan dengan AWS KMS.

  • Izin untuk memilih dan memanggil fungsi Lambda yang tidak termasukGtRecipe,SageMaker,Sagemaker,sagemaker, atau LabelingFunction dalam nama fungsi.

  • Bucket Amazon S3 yang tidak menyertakanGroundTruth,,Groundtruth,groundtruth, SageMakerSagemaker, dan sagemaker dalam awalan atau nama bucket atau tag objek yang disertakan SageMaker dalam nama (tidak peka huruf besar/kecil).

Jika Anda memerlukan izin yang lebih terperinci daripada yang disediakan diAmazonSageMakerGroundTruthExecution, gunakan contoh kebijakan berikut untuk membuat peran eksekusi yang sesuai dengan kasus penggunaan spesifik Anda.

Built-In Jenis Tugas (Non-streaming) Persyaratan Peran Eksekusi

Kebijakan berikut memberikan izin untuk membuat pekerjaan pelabelan untuk jenis tugas bawaan. Kebijakan eksekusi ini tidak menyertakan izin untuk enkripsi atau dekripsi AWS KMS data. Ganti setiap ARN merah yang dicetak miring dengan ARN Amazon S3 Anda sendiri.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "S3ViewBuckets",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation"
            ],
            "Resource": [
                "arn:aws:s3:::<input-bucket-name>",
                "arn:aws:s3:::<output-bucket-name>"
            ]
        },
        {
            "Sid": "S3GetPutObjects",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::<input-bucket-name>/*",
                "arn:aws:s3:::<output-bucket-name>/*"
            ]
        },
        {
            "Sid": "CloudWatch",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        }
    ]
}

Built-In Persyaratan Peran Eksekusi Jenis Tugas (Streaming)

Jika Anda membuat pekerjaan pelabelan streaming, Anda harus menambahkan kebijakan yang mirip dengan berikut ini ke peran eksekusi yang Anda gunakan untuk membuat pekerjaan pelabelan. Untuk mempersempit cakupan kebijakan, ganti * in Resource dengan AWS sumber daya tertentu yang ingin Anda berikan izin peran IAM untuk mengakses dan digunakan.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetObject",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*",
                "arn:aws:s3:::amzn-s3-demo-bucket2/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": "*",
            "Condition": {
                "StringEqualsIgnoreCase": {
                    "s3:ExistingObjectTag/SageMaker": "true"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetBucketLocation",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket",
                "arn:aws:s3:::amzn-s3-demo-bucket2"
            ]
        },
        {
            "Sid": "CloudWatch",
            "Effect": "Allow",
            "Action": [
                "cloudwatch:PutMetricData",
                "logs:CreateLogStream",
                "logs:CreateLogGroup",
                "logs:DescribeLogStreams",
                "logs:PutLogEvents"
            ],
            "Resource": "*"
        },
        {
            "Sid": "StreamingQueue",
            "Effect": "Allow",
            "Action": [
                "sqs:CreateQueue",
                "sqs:DeleteMessage",
                "sqs:GetQueueAttributes",
                "sqs:GetQueueUrl",
                "sqs:ReceiveMessage",
                "sqs:SendMessage",
                "sqs:SetQueueAttributes"
            ],
            "Resource": "arn:aws:sqs:*:*:*GroundTruth*"
        },
        {
            "Sid": "StreamingTopicSubscribe",
            "Effect": "Allow",
            "Action": "sns:Subscribe",
            "Resource": [
                "arn:aws:sns:us-east-1:111122223333:input-topic-name",
                "arn:aws:sns:us-east-1:111122223333:output-topic-name"
            ],
            "Condition": {
                "StringEquals": {
                    "sns:Protocol": "sqs"
                },
                "StringLike": {
                    "sns:Endpoint": "arn:aws:sns:us-east-1:111122223333:*GroundTruth*"
                }
            }
        },
        {
            "Sid": "StreamingTopic",
            "Effect": "Allow",
            "Action": [
                "sns:Publish"
            ],
            "Resource": [
                "arn:aws:sns:us-east-1:111122223333:input-topic-name",
                "arn:aws:sns:us-east-1:111122223333:output-topic-name"
            ]
        },
        {
            "Sid": "StreamingTopicUnsubscribe",
            "Effect": "Allow",
            "Action": [
                "sns:Unsubscribe"
            ],
            "Resource": [
                "arn:aws:sns:us-east-1:111122223333:input-topic-name",
                "arn:aws:sns:us-east-1:111122223333:output-topic-name"
            ]
        }
    ]
}

Persyaratan Peran Eksekusi untuk Jenis Tugas Kustom

Jika Anda ingin membuat alur kerja pelabelan khusus, tambahkan pernyataan berikut ke kebijakan peran eksekusi seperti yang ditemukan di Built-In Jenis Tugas (Non-streaming) Persyaratan Peran Eksekusi atauBuilt-In Persyaratan Peran Eksekusi Jenis Tugas (Streaming).

Kebijakan ini memberikan izin peran eksekusi untuk fungsi Lambda pra-anotasi dan pasca-anotasi Invoke Anda.

{
    "Sid": "LambdaFunctions",
    "Effect": "Allow",
    "Action": [
        "lambda:InvokeFunction"
    ],
    "Resource": [
        "arn:aws:lambda:<region>:<account-id>:function:<pre-annotation-lambda-name>",
        "arn:aws:lambda:<region>:<account-id>:function:<post-annotation-lambda-name>"
    ]
}

Persyaratan Izin Pelabelan Data Otomatis

Jika Anda ingin membuat pekerjaan pelabelan dengan pelabelan data otomatis diaktifkan, Anda harus 1) menambahkan satu kebijakan ke kebijakan IAM yang dilampirkan ke peran eksekusi dan 2) memperbarui kebijakan kepercayaan dari peran eksekusi.

Pernyataan berikut memungkinkan peran eksekusi IAM diteruskan ke SageMaker AI sehingga dapat digunakan untuk menjalankan tugas pelatihan dan inferensi yang digunakan untuk pembelajaran aktif dan pelabelan data otomatis masing-masing. Tambahkan pernyataan ini ke kebijakan peran eksekusi seperti yang ditemukan di Built-In Jenis Tugas (Non-streaming) Persyaratan Peran Eksekusi atauBuilt-In Persyaratan Peran Eksekusi Jenis Tugas (Streaming). Ganti arn:aws:iam::<account-number>:role/<role-name> dengan peran eksekusi ARN. Anda dapat menemukan ARN peran IAM Anda di konsol IAM di bawah Peran. 

{
    "Effect": "Allow",
    "Action": [
        "iam:PassRole"
    ],
    "Resource": "arn:aws:iam::<account-number>:role/<execution-role-name>",
    "Condition": {
        "StringEquals": {
            "iam:PassedToService": [
                "sagemaker.amazonaws.com"
            ]
        }
    }
}

Pernyataan berikut memungkinkan SageMaker AI untuk mengambil peran eksekusi untuk membuat dan mengelola pekerjaan SageMaker pelatihan dan inferensi. Kebijakan ini harus ditambahkan ke hubungan kepercayaan dari peran eksekusi. Untuk mempelajari cara menambahkan atau memodifikasi kebijakan kepercayaan peran IAM, lihat Memo difikasi peran di Panduan Pengguna IAM.

JSON
{
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {"Service": "sagemaker.amazonaws.com" },
        "Action": "sts:AssumeRole"
    }
}