Concedi agli utenti le autorizzazioni per utilizzare dati di grandi dimensioni in tutto il ciclo di vita del machine learning

Passa alle impostazioni del dominio Amazon SageMaker AI:

1. Apri la console Amazon SageMaker AI all'indirizzo https://console.aws.amazon.com/sagemaker/.

2. Nel riquadro di navigazione a sinistra, scegli Domains (Domini).

3. Scegli il tuo dominio.

4. Scegli la scheda Configurazioni dell'app.

5. Scorri fino alla sezione Canvas e scegli Modifica.

Abilita l'elaborazione di dati di grandi dimensioni:

1. Nella sezione Configurazione dell'elaborazione di dati di grandi dimensioni, attiva Abilita EMR Serverless per l'elaborazione di dati di grandi dimensioni.

2. Crea o seleziona un ruolo EMR Serverless:

   1. Scegli Crea e usa un nuovo ruolo di esecuzione per creare un nuovo ruolo IAM che abbia una relazione di fiducia con EMR Serverless e la AWS politica gestita: AmazonSageMakerCanvas EMRServerless ExecutionRolePolicy policy allegata. Questo ruolo IAM viene assunto da Canvas per creare lavori EMR Serverless.

   2. In alternativa, se disponi già di un ruolo di esecuzione con una relazione di trust per EMR Serverless, seleziona Usa un ruolo di esecuzione esistente e scegli il tuo ruolo dal menu a discesa.

      • Il ruolo esistente deve avere un nome che inizi con il prefisso. AmazonSageMakerCanvasEMRSExecutionAccess-

      • Il ruolo selezionato deve inoltre avere almeno le autorizzazioni descritte nella AWS politica gestita: AmazonSageMakerCanvas EMRServerless ExecutionRolePolicy politica.

      • Il ruolo deve avere una policy di fiducia EMR Serverless, come illustrato di seguito:

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Sid": "EMRServerlessTrustPolicy",
                    "Effect": "Allow",
                    "Principal": {
                        "Service": "emr-serverless.amazonaws.com"
                    },
                    "Action": "sts:AssumeRole",
                    "Condition": {
                        "StringEquals": {
                            "aws:SourceAccount": "<your-account-id>"
                        }
                    }
                }
            ]
        }

(Facoltativo) Aggiungi le autorizzazioni Amazon S3 per i bucket Amazon S3 personalizzati:

1. La policy gestita di Canvas concede automaticamente le autorizzazioni di lettura e scrittura per i bucket Amazon S3 sagemaker con SageMaker AI o nel loro nome. Concede inoltre le autorizzazioni di lettura per gli oggetti nei bucket Amazon S3 personalizzati con il tag. "SageMaker": "true"

2. Per i bucket Amazon S3 personalizzati senza il tag richiesto, aggiungi la seguente policy al tuo ruolo EMR Serverless:

3. {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "s3:GetObject",
                   "s3:PutObject",
                   "s3:DeleteObject"
               ],
               "Resource": [
                   "arn:aws:s3:::*"
               ]
           }
       ]
   }

4. Ti consigliamo di limitare le autorizzazioni per specifici bucket Amazon S3 a cui desideri che Canvas acceda.

Salva le modifiche e riavvia l'applicazione Canvas. SageMaker

Aggiungi le autorizzazioni per l'DescribeImagesoperazione Amazon ECR al tuo ruolo di esecuzione di Amazon SageMaker AI, poiché Canvas utilizza immagini Docker pubbliche di Amazon ECR per la preparazione dei dati e l'addestramento dei modelli:

1. Accedi alla AWS console e apri la console IAM all'indirizzo. https://console.aws.amazon.com/iam/

2. Scegli Ruoli.

3. Nella casella di ricerca, cerca il tuo ruolo di esecuzione SageMaker AI per nome e selezionalo.

4. Aggiungi la seguente policy al tuo ruolo di esecuzione dell' SageMaker IA. Questo può essere fatto aggiungendola come nuova politica in linea o aggiungendo la dichiarazione politica a una esistente. Tieni presente che a un ruolo IAM può essere associato un massimo di 10 policy.

   {
       "Version": "2012-10-17",
       "Statement": [{
           "Sid": "ECRDescribeImagesOperation",
           "Effect": "Allow",
           "Action": "ecr:DescribeImages",
           "Resource": [
               "arn:aws:ecr:*:*:repository/sagemaker-data-wrangler-emr-container",
               "arn:aws:ecr:*:*:repository/ap-dataprep-emr"
           ]
       }]
   }

Salva le modifiche e riavvia l'applicazione SageMaker Canvas.

Assicurati che le sottoreti VPC siano private:

1. Verifica che la tabella di routing per le tue sottoreti non disponga di una mappatura 0.0.0.0/0 delle voci su un Internet Gateway.

Aggiungi le autorizzazioni per la creazione di interfacce di rete:

1. Quando si utilizza SageMaker Canvas con EMR Serverless per l'elaborazione di dati su larga scala, EMR Serverless richiede la possibilità di creare Amazon per EC2 ENIs abilitare la comunicazione di rete tra le applicazioni EMR Serverless e le risorse VPC.

2. Aggiungi la seguente policy al tuo ruolo di esecuzione di Amazon SageMaker AI. Questo può essere fatto aggiungendola come nuova politica in linea o aggiungendo la dichiarazione politica a una esistente. Tieni presente che a un ruolo IAM può essere associato un massimo di 10 policy.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowEC2ENICreation",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateNetworkInterface"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:CalledViaLast": "ops.emr-serverless.amazonaws.com"
                   }
               }
           }
       ]
   }

(Facoltativo) Limita la creazione di ENI a sottoreti specifiche:

1. Per proteggere ulteriormente la tua configurazione limitando la creazione di determinate sottoreti ENIs all'interno del tuo VPC, puoi etichettare ogni sottorete con condizioni specifiche.

2. Utilizza la seguente policy IAM per garantire che le applicazioni EMR Serverless possano creare Amazon solo EC2 ENIs all'interno delle sottoreti e dei gruppi di sicurezza consentiti:

   {
       "Sid": "AllowEC2ENICreationInSubnetAndSecurityGroupWithEMRTags",
       "Effect": "Allow", 
       "Action": [
           "ec2:CreateNetworkInterface"
       ],
       "Resource": [
           "arn:aws:ec2:*:*:subnet/*",
           "arn:aws:ec2:*:*:security-group/*"
       ],
       "Condition": {
           "StringEquals": {
               "aws:ResourceTag/KEY": "VALUE"
           }
       }
   }

Segui i passaggi indicati nella pagina Configura Amazon SageMaker Canvas in un VPC senza accesso a Internet per impostare l'endpoint VPC per Amazon S3, richiesto da EMR Serverless e da altri servizi utilizzati da Canvas. AWS SageMaker

Salva le modifiche e riavvia l'applicazione Canvas. SageMaker