Impostazione delle autorizzazioni per Amazon Forecast

Accedere alla console IAM (https://console.aws.amazon.com/iam).

Scegliere Policies (Policy) ed eseguire la procedura seguente per creare la policy richiesta:

1. Fai clic su Crea policy.

2. Nella pagina Create policy (Crea policy), nell'editor di policy, scegliere la scheda JSON.

3. Copiare la policy seguente e sostituire il testo nell'editor incollando questa policy. Assicurarsi di sostituire bucket-name con il nome del bucket S3, quindi scegliere Review policy (Rivedi policy).

   {
      "Version":"2012-10-17",
      "Statement":[
         {
            "Effect":"Allow",
            "Action":[
               "s3:Get*",
               "s3:List*",
               "s3:PutObject"
            ],
            "Resource":[
               "arn:aws:s3:::bucket-name", 
               "arn:aws:s3:::bucket-name/*" 
            ]
         }
      ]
   }

   Fai clic su Avanti: Tag

4. Facoltativamente, puoi assegnare tag a questa politica. Fare clic su Successivo: Rivedi.

5. In Review policy (Rivedi policy), per Name (Nome), immettere un nome per la policy. Ad esempio, AWSS3BucketAccess. Facoltativamente, fornire una descrizione per questa policy, quindi scegliere Create policy (Crea policy).

Nel riquadro di navigazione, seleziona Ruoli. Quindi procedi come segue per creare il ruolo IAM:

1. Scegli Crea ruolo.

2. Per Trusted entity type (Tipo di entità attendibile), scegli Servizio AWS.

   Per Use case, seleziona Forecast dalla sezione Casi d'uso comuni o dall'elenco a Servizi AWS discesa Casi d'uso per altri. Se non riesci a trovare Forecast, scegli EC2.

   Fai clic su Next (Successivo).

3. Nella sezione Aggiungi autorizzazioni, fai clic su Avanti.

4. Nella sezione Nome, rivedi e crea, in Nome ruolo, inserisci un nome per il ruolo (ad esempio,ForecastRole). Aggiornare la descrizione del ruolo in Role description (Descrizione ruolo), quindi scegliere Create role (Crea ruolo).

5. Ora dovresti tornare alla pagina Ruoli. Scegliere il nuovo ruolo per aprire la relativa pagina dei dettagli.

6. In Summary (Riepilogo), copiare il valore Role ARN (ARN del ruolo) e salvarlo. Questo è necessario per importare un set di dati in Amazon Forecast.

7. Se Amazon Forecast non è stato scelto come servizio che utilizzerà questo ruolo, scegliere Trust relationships (Relazioni di trust), quindi selezionare Edit trust relationship (Modifica relazione di trust) per aggiornare la policy di attendibilità come segue.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Principal": {
           "Service": "forecast.amazonaws.com"
         },
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id"
           },
           "ArnLike": {
             "aws:SourceArn": "arn:aws:forecast:region:account-id:*"
           }
         }
       }
     ]
   }

8. [OPZIONALE] Quando usi una chiave KMS per abilitare la crittografia, collega la chiave KMS e l'ARN:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "ForecastKMS",
               "Effect": "Allow",
               "Action": "kms:*",
               "Resource": "arn:aws:kms:region:account-id:key/KMS-key-id"
           }
       ]
   }

Crea un ruolo IAM con Amazon Forecast come entità affidabile che può assumere il ruolo per te:

aws iam create-role \
 --role-name ForecastRole \
 --assume-role-policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "forecast.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "account-id"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:forecast:region:account-id:*"
        }
      }
    }
  ]
}'

Questo comando presuppone che il profilo di AWS configurazione predefinito sia destinato a un utente Regione AWS supportato da Amazon Forecast. Se hai configurato un altro profilo (ad esempio,aws-forecast) per indirizzare un utente Regione AWS che non è supportato da Amazon Forecast, devi specificare esplicitamente tale configurazione includendo il profile parametro nel comando, --profile aws-forecast ad esempio. Per ulteriori informazioni sulla configurazione di un profilo di AWS CLI configurazione, consulta il comando AWS CLI configure.

Se il comando crea correttamente il ruolo, lo restituisce come un output il cui aspetto è simile al seguente:

{
    "Role": {
        "Path": "/",
        "RoleName": "ForecastRole",
        "RoleId": your-role-ID,
        "Arn": "arn:aws:iam::your-acct-ID:role/ForecastRole",
        "CreateDate": "creation-date",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "forecast.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "your-acct-ID"
                        },
                        "ArnLike": {
                            "aws:SourceArn": "arn:aws:forecast:region:your-acct-ID:*"
                        }
                    }
                }
            ]
        }
    }
}

Registrare l'ARN del ruolo, perché sarà richiesto quando si importa un set di dati per eseguire il training del predittore Amazon Forecast.

Crea una policy IAM con le autorizzazioni per elencare, leggere e scrivere dati in Amazon S3 e collegala al ruolo IAM che hai creato nella fase 1:

aws iam put-role-policy \
  --role-name ForecastRole \
  --policy-name ForecastBucketAccessPolicy \
  --policy-document '{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:Get*",
            "s3:List*",
            "s3:PutObject"
         ],
         "Resource":[
            "arn:aws:s3:::bucket-name", 
            "arn:aws:s3:::bucket-name/*" 
         ]
      }
   ]
}'

[OPZIONALE] Quando usi una chiave KMS per abilitare la crittografia, collega la chiave KMS e l'ARN:

aws iam put-role-policy \
  --role-name ForecastRole \
  --policy-name ForecastBucketAccessPolicy \
  --policy-document '{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
            "s3:Get*",
            "s3:List*",
            "s3:PutObject"
         ],
         "Resource":[
            "arn:aws:s3:::bucket-name", 
            "arn:aws:s3:::bucket-name/*" 
         ]
      }
   ]
}'aws iam put-role-policy \
  --role-name ForecastRole \
  --policy-name ForecastKMSAccessPolicy \
  --policy-document ‘{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Action":[
        "kms:DescribeKey", 
        "kms:CreateGrant",
        "kms:RetireGrant"
         ],
         "Resource":[
         "arn:aws:kms:region:account-id:key/KMS-key-id"
         ]
      }
   ]
}’